Защита данных — GDPR-соответствие для мерч-программ в Польша
Welcome-кит и gifting-программы обрабатывают персональные данные: имя, адрес, размер футболки, диетические предпочтения. Вот как мы держим это в соответствии с GDPR и Polish UODO (Urząd Ochrony Danych Osobowych, Ustawa o ochronie danych osobowych 2018).
Какие персональные данные мы обрабатываем и почему
Когда вы загружаете список получателей, мы обрабатываем: полное имя, адрес доставки, email, телефон, размер футболки. Правовое основание: договор (Art. 6(1)(b) GDPR), где вы — контроллер, мы — процессор. Подписываем DPA на каждый рамочный контракт.
Хранение, удаление и право доступа
ПД хранятся 90 дней после доставки для гарантии/возвратов, затем автоматически удаляются. Зашифрованный архив 24 месяца для инвойсов/аудита. Права доступа (Art. 15), удаления (Art. 17), портабельности (Art. 20) — 30 дней с запроса. Запросы через нашего DPO ([email protected]).
Суб-процессоры и международные передачи
Суб-процессоры в DPA: перевозчики (DHL, UPS, FedEx, BRT, SDA), email-шлюз (transactional), облачный хостинг в EU (Франкфурт/Дублин). Без передачи вне ЕЭП без SCC. Список получателей не используется для маркетинга, не обогащается, не перепродаётся.
Польша — местный орган защиты данных
VAT 23% через KSeF (Krajowy System e-Faktur). Соответствуем Polish UODO (Urząd Ochrony Danych Osobowych, Ustawa o ochronie danych osobowych 2018). Уведомление о конфиденциальности для субъектов данных на Polska и английском. ПД на отгрузочных этикетках печатаются в хабе Warszawa on demand и безопасно утилизируются после печати.
Частые вопросы
Вы контроллер или процессор?
Процессор — вы остаётесь контроллером списка. DPA подписывается на рамочный контракт.
Где хостятся данные?
EU дата-центры (Франкфурт, Дублин). Без передачи вне ЕЭП.
Можно ли получить список суб-процессоров?
Да — текущий список в приложении DPA, 30 дней уведомления на любое изменение.
Уведомление о breach?
Уведомляем в течение 24 часов с момента обнаружения, с деталями для вашего 72-часового уведомления.
Право на забвение в welcome-листе?
Да — получатель пишет [email protected]; данные удаляются из активных систем в течение 30 дней.