§1Administrator danych
Administratorem danych osobowych jest:
Drillstom Aneta Borowiak, Anna Pawłowska s.c.
ul. Kożuchowska 15a/107, 65-364 Zielona Góra
NIP: 9731094670 · REGON: 525816643
e-mail: info@drillstom.pl
Kontakt w sprawach ochrony danych: info@drillstom.pl.
§2Jakie dane przetwarzamy i skąd je mamy
Przetwarzamy dane niezbędne do zawarcia i wykonania umowy oraz do obsługi konta firmowego: dane identyfikacyjne przedsiębiorcy (nazwa, NIP, REGON, adres), dane osób kontaktowych i użytkowników konta (imię, nazwisko, służbowy adres e-mail, numer telefonu, stanowisko), dane o zamówieniach i płatnościach oraz dane techniczne (adres IP, informacje o urządzeniu i przeglądarce).
Dane pozyskujemy bezpośrednio od osoby, której dotyczą, albo od Klienta, który je nam udostępnia — na przykład gdy firma zgłasza swojego pracownika jako użytkownika konta. W tym drugim przypadku źródłem danych jest ten Klient (art. 14 RODO), a kategorie danych obejmują dane kontaktowe i służbowe wskazane wyżej.
Dane jednoosobowych działalności gospodarczych oraz imienne służbowe adresy e-mail stanowią dane osobowe, mimo że współpraca ma charakter B2B.
§3Cele i podstawy prawne
| Cel | Podstawa prawna | Uwagi |
|---|---|---|
| Zawarcie i wykonanie umowy sprzedaży, obsługa zamówień i konta | art. 6 ust. 1 lit. b RODO (umowa); wobec osób kontaktowych: art. 6 ust. 1 lit. f (prawnie uzasadniony interes) | Podanie danych jest warunkiem zawarcia umowy; brak danych uniemożliwia realizację zamówienia |
| Wystawianie i przechowywanie faktur, obowiązki podatkowe | art. 6 ust. 1 lit. c RODO (obowiązek prawny) | Ustawa o VAT, Ordynacja podatkowa, przepisy o KSeF |
| Obowiązki dotyczące wyrobów medycznych, w tym identyfikowalność dostaw i obsługa reklamacji | art. 6 ust. 1 lit. c RODO (obowiązek prawny) | Art. 25 i 27 MDR, ustawa o wyrobach medycznych |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f RODO | Uzasadniony interes: ochrona praw Administratora |
| Marketing własny, w tym newsletter | art. 6 ust. 1 lit. f RODO; zgoda na komunikację elektroniczną: art. 398 Prawa komunikacji elektronicznej | Zgodę można wycofać w każdej chwili |
| Analityka i poprawa działania sklepu | art. 6 ust. 1 lit. f RODO; pliki cookies za zgodą | LiveSession (nagrywanie sesji) od 27.08.2026, wyłącznie za zgodą; bez zgody skrypt się nie uruchamia. Od 14.09.2026 nagranie obejmuje też treść wpisywaną w formularze, poza hasłami |
§4Odbiorcy danych
Dane mogą być udostępniane następującym kategoriom odbiorców:
- dostawcy infrastruktury i hostingu aplikacji sklepu (przetwarzający na nasze polecenie),
- dostawca systemu fakturowego i magazynowego oraz biuro rachunkowe,
- przewoźnicy realizujący dostawę — w zakresie danych niezbędnych do doręczenia przesyłki,
- dostawcy narzędzi, z których korzystamy przy prowadzeniu sklepu: Railway (hosting), Sentry (monitorowanie błędów aplikacji), Resend (wiadomości transakcyjne), Fakturownia (wystawianie faktur) oraz GLS (doręczenie przesyłek),
- LiveSession sp. z o.o. (analiza korzystania ze sklepu) — wyłącznie wtedy, gdy wyrazisz na to zgodę. Bez zgody narzędzie w ogóle się nie uruchamia i nie otrzymuje żadnych danych,
- organy publiczne, gdy obowiązek udostępnienia wynika z przepisów, w szczególności Prezes URPL w zakresie wyrobów medycznych.
Z podmiotami przetwarzającymi dane na nasze polecenie zawieramy umowy powierzenia przetwarzania (art. 28 RODO).
§5Okresy przechowywania
| Kategoria danych | Okres | Podstawa |
|---|---|---|
| Dokumentacja księgowa i faktury | 5 lat od końca roku podatkowego | Ordynacja podatkowa |
| Dane niezbędne do dochodzenia roszczeń | 3 lata | art. 118 Kodeksu cywilnego |
| Dane umożliwiające identyfikację odbiorców wyrobów medycznych | 10 lat od wprowadzenia wyrobu do obrotu | art. 25 MDR |
| Konto firmowe i dane użytkowników | do czasu usunięcia konta, z zachowaniem okresów powyżej | art. 5 ust. 1 lit. e RODO |
| Dane przetwarzane na podstawie zgody (newsletter) | do czasu wycofania zgody | art. 7 ust. 3 RODO |
Obowiązek identyfikowalności wyrobów medycznych jest dłuższy niż pozostałe okresy. Oznacza to, że usunięcie konta nie powoduje usunięcia danych o dostawach wyrobów, jeżeli ich zachowanie jest wymagane przepisami.
§6Prawa osób, których dane dotyczą
Przysługuje Państwu prawo do:
- dostępu do danych oraz otrzymania ich kopii,
- sprostowania danych nieprawidłowych lub niekompletnych,
- usunięcia danych, o ile nie sprzeciwia się temu obowiązek prawny,
- ograniczenia przetwarzania,
- przenoszenia danych przetwarzanych na podstawie umowy lub zgody,
- wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec marketingu bezpośredniego,
- cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.
Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Nie podejmujemy wobec Państwa decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na sytuację.
§7Przekazywanie danych poza EOG
Dążymy do przetwarzania danych na terenie Europejskiego Obszaru Gospodarczego. Jeżeli któryś z dostawców usług przetwarza dane poza EOG, przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Poza EOG dane mogą trafiać do dostawców mających siedzibę w Stanach Zjednoczonych, w szczególności Railway, Sentry, Resend, SendGrid i Google. Podstawą przekazania jest decyzja Komisji Europejskiej w sprawie Ram Ochrony Danych UE–USA albo standardowe klauzule umowne, jeżeli dany dostawca nie jest objęty tą decyzją.