Polityka prywatności
Obowiązuje od: 14 października 2026
Wszystko, co o Tobie mamy, trafiło do nas jedną z czterech dróg. Ta polityka jest ułożona według drogi, a nie według kategorii danych — bo to „skąd to mamy" decyduje o tym, na jakiej podstawie wolno nam tego używać i czy miałeś w tej sprawie cokolwiek do powiedzenia.
Źródło 1 — podałeś nam to sam. Źródło 2 — zostawiła to Twoja przeglądarka. Źródło 3 — zmierzyły to pliki cookies, na które się zgodziłeś. Źródło 4 — powiedział nam to ktoś inny. To źródło jest u nas puste i wyjaśniamy niżej dlaczego.
Przy każdym z nich: co dokładnie, po co, na jakiej podstawie prawnej, jak długo i kto jeszcze to widzi. Dalej — to, co dotyczy wszystkich czterech.
Kto za to odpowiada
Otulena Sp. z o.o., ul. Juliana Tuwima 26, 10-748 Olsztyn pomoc@otulena.com · +48 89 670 03 56
Jesteśmy administratorem Twoich danych osobowych. Nie mamy obowiązku powoływania inspektora ochrony danych i nie powołaliśmy go — sprawy dotyczące prywatności trafiają na powyższy adres e-mail i prowadzimy je sami.
Sprzedajemy i wysyłamy wyłącznie na terenie Polski, i ta polityka opisuje właśnie to.
Czytanie tej strony do niczego Cię nie zobowiązuje. Polityka prywatności to informacja, którą jesteśmy Ci winni, a nie umowa, którą zawierasz przez wejście na stronę. Tam, gdzie potrzebna jest zgoda, pytamy o nią osobno i możesz ją w każdej chwili wycofać.
Źródło 1 — Podałeś nam to sam
Zamówienie
Co: imię i nazwisko, adres dostawy i adres rozliczeniowy, e-mail, numer telefonu, zamówione produkty, kwota, data i numer zamówienia.
Po co: żeby przyjąć zamówienie, potwierdzić je, skompletować, wysłać, informować Cię o statusie i prowadzić wymaganą dokumentację.
Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO) dla sprzedaży i dostawy, obowiązek prawny (art. 6 ust. 1 lit. c RODO) dla dokumentacji księgowej i podatkowej.
Jak długo: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Zamówienie z marca 2026 znika więc na początku 2032, a nie w marcu 2031.
Art. 74 ustawy o rachunkowości i art. 86 Ordynacji podatkowej.
Kto jeszcze to widzi: nasza platforma sklepowa i jej hosting, przewoźnik — w zakresie, który musi znaleźć się na paczce — oraz nasze biuro rachunkowe. Nikt poza tym.
To jedyne dane, których nie da się pominąć. Bez imienia i adresu nie ma dostawy. Wszystko inne w tym rejestrze jest dobrowolne albo zbierane automatycznie.
Płatność
Co: kwota, data, wybrana metoda, status transakcji i identyfikator u operatora płatności.
Czego nie: pełnego numeru karty, daty ważności ani kodu CVV nie dostajemy. Te dane idą z Twojej przeglądarki wprost do operatora płatności. Nie widzimy ich, więc nie możemy ich ani zgubić, ani potwierdzić, gdyby ktoś poprosił o nie e-mailem. Przy BLIK-u i przelewie widzimy nazwę banku i wynik — nie saldo i nie pozostałe transakcje.
Podstawa prawna: wykonanie umowy i obowiązek prawny. Kontrola antyfraudowa po stronie operatora opiera się na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO).
Jak długo: 5 lat, razem z zamówieniem.
Kto jeszcze to widzi: operator płatności oraz biuro rachunkowe. Operator jest samodzielnym administratorem danych karty i ma własną politykę prywatności.
Dane przekazane przewoźnikowi
Co: imię i nazwisko, adres dostawy oraz — jeśli je podałeś — e-mail i numer telefonu do powiadomień o doręczeniu.
Po co: żeby paczka dotarła, żebyś dostał numer śledzenia i żeby dało się wszcząć reklamację, gdy coś pójdzie nie tak.
Podstawa prawna: wykonanie umowy.
Jak długo: u nas 5 lat jako część zamówienia. U przewoźnika — według jego własnych zasad, za które odpowiada on.
Kto jeszcze to widzi: wyłącznie przewoźnik. Przekazujemy minimum, które musi być na przesyłce — nie to, co kupiłeś, i nie to, ile zapłaciłeś.
Wiadomość do obsługi klienta
Co: Twój adres e-mail lub numer telefonu, imię, treść wiadomości i nasze odpowiedzi. Przy kontakcie telefonicznym krótka notatka z ustaleń.
Rozmów telefonicznych nie nagrywamy. Nie musisz o to pytać i my nie musimy prosić o zgodę, bo to się po prostu nie dzieje.
Podstawa prawna: wykonanie umowy, gdy sprawa dotyczy zamówienia. Gdy nie dotyczy — pytanie przed zakupem — nasz prawnie uzasadniony interes w prowadzeniu działającej obsługi klienta.
Jak długo: 2 lata od zakończenia sprawy. Jeżeli wiadomość wiąże się z zamówieniem, reklamacją albo zwrotem, wchodzi do tego dossier i obowiązuje 5 lat.
Kto jeszcze to widzi: nasza poczta i jej hosting. Nikt poza tym.
Zwrot, reklamacja, gwarancja 100 nocy
Co: zgłoszenie, powód, numer zamówienia, przesłane zdjęcia, nasza ocena, zwrócona kwota i korespondencja.
Po co: żeby rozpatrzyć sprawę, zwrócić pieniądze lub wymienić towar, złożyć reklamację u przewoźnika przy szkodzie w transporcie i móc po latach wykazać, co ustalono — bo przy niezgodności towaru z umową sprawa biegnie dwa lata.
Podstawa prawna: wykonanie umowy i obowiązek prawny; przy sporze także prawnie uzasadniony interes w wykazaniu naszego stanowiska.
Jak długo: 5 lat, jako część dokumentacji.
Kto jeszcze to widzi: przewoźnik, ale tylko przy reklamacji transportowej i tylko w zakresie potrzebnym do jej złożenia. Biuro rachunkowe widzi kwotę zwrotu.
Konto
Co: imię, e-mail, zaszyfrowane hasło, zapisane adresy i historia zamówień.
Twojego hasła nie umiemy odczytać. Jest przechowywane w postaci skrótu — jeśli ktoś prosi Cię o nie e-mailem, to nie jesteśmy my.
Podstawa prawna: wykonanie umowy. To Ty prosisz o konto.
Jak długo: dopóki konto istnieje. Po usunięciu znika w ciągu 30 dni. Złożone zamówienia zostają w dokumentacji — obejmuje je ustawowy obowiązek przechowywania, którego usunięcie konta nie uchyla.
Konto nie jest do niczego potrzebne. Możesz kupować bez niego, z tymi samymi terminami, prawami i cenami.
Zapis na newsletter
Co: adres e-mail, data i moment zapisu oraz to, czy nasze wiadomości są otwierane i klikane.
Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO), której udzielasz przy zapisie.
W Polsce zgoda musi być uprzednia i nie ma „wyjątku dla klientów". W odróżnieniu od niektórych innych państw UE sam fakt, że u nas kupiłeś, nie uprawnia nas do wysyłania Ci reklamy — potrzebujemy osobnej zgody i prosimy o nią osobno.
Art. 398 ustawy Prawo komunikacji elektronicznej.
Jak długo: do wycofania zgody. Potem zostaje sam adres na liście wykluczeń — właśnie po to, żebyś już nigdy nie dostał od nas reklamy. Do niczego innego tej listy nie używamy.
Kto jeszcze to widzi: usługa, przez którą wysyłamy wiadomości.
Wypisanie działa natychmiast i nic nie kosztuje. Jedno kliknięcie w link na dole każdej wiadomości albo e-mail do nas. Wypisanie zatrzymuje reklamę, a nie potwierdzenia zamówień i powiadomienia o wysyłce — te należą do umowy i przychodzą dalej.
SMS-ów marketingowych nie wysyłamy. Numer telefonu podany do doręczenia nie jest zgodą na marketing — ani w naszej ocenie, ani w świetle przepisu powyżej.
Źródło 2 — Zostawiła to Twoja przeglądarka
Co: adres IP, czas, otwarta strona, typ przeglądarki i systemu, strona odsyłająca. Serwer zapisuje to niezależnie od tego, czy akceptujesz pliki cookies.
Po co: żeby sklep działał, żeby dało się znaleźć awarię, powstrzymać nadużycie lub atak i zauważyć, że ktoś tysiąc razy na minutę próbuje się zalogować.
Podstawa prawna: prawnie uzasadniony interes w bezpieczeństwie i dostępności serwisu (art. 6 ust. 1 lit. f RODO). Rozważyliśmy to i uznaliśmy, że interes ten jest istotny, że dane nie służą śledzeniu ani profilowaniu, a strona bez logów po prostu nie da się zabezpieczyć.
Jak długo: 6 miesięcy. Potem znikają automatycznie, chyba że konkretny incydent uzasadnia dłuższe przechowanie.
Kto jeszcze to widzi: nasz hosting, który prowadzi logi technicznie za nas.
To nie są cookies i to nie jest śledzenie. Logów serwera nie łączymy z Twoim zamówieniem, z reklamą ani z żadnym profilem.
Źródło 3 — Zmierzyły to pliki cookies
Trzy rodzaje, i różnica między nimi jest jedyną rzeczą, którą trzeba zapamiętać.
Niezbędne. Koszyk, zamówienie, logowanie, bezpieczeństwo, sesja i zapamiętanie samego Twojego wyboru w sprawie cookies. Bez nich sklep nie działa.
Analityczne. Które strony są odwiedzane, jak długo i w którym miejscu ludzie rezygnują.
Reklamowe. Czy reklama doprowadziła do zakupu i wyświetlanie reklam w innych miejscach. Tu mieszczą się Google Ads i Meta.
Podstawa prawna: dla niezbędnych — zgoda nie jest wymagana, bo bez nich nie ma usługi. Dla analitycznych i reklamowych — Twoja uprzednia zgoda. Nie „tam, gdzie wymaga tego prawo", tylko zawsze: w Polsce tak to wygląda, a te pliki są zapisywane dopiero po kliknięciu „akceptuję".
Art. 399 ustawy Prawo komunikacji elektronicznej.
Jak długo: zależnie od pliku, od końca sesji do maksymalnie 24 miesięcy. Twój wybór w sprawie cookies przechowujemy 12 miesięcy i potem pytamy ponownie.
Kto jeszcze to widzi: dostawcy tych usług, każdy z własną polityką prywatności.
Odmowa nic nie psuje. Odrzuć wszystko poza niezbędnymi, a sklep działa w całości: kupisz, zapłacisz, zwrócisz i napiszesz do nas. Nie pokazujemy innych cen ani innego asortymentu tym, którzy odmówili, i nie traktujemy ich inaczej w żadnym innym zakresie.
Zmiana lub wycofanie zgody — przez ustawienia cookies na stronie; to, co już jest zapisane, usuwasz w przeglądarce. Wycofanie jest tak samo łatwe jak udzielenie — to wymóg przepisu, nie nasza uprzejmość.
Sygnał GPC z przeglądarki traktujemy jako sprzeciw wobec reklamowego wykorzystania danych, bez potrzeby klikania czegokolwiek. Starszego nagłówka „Do Not Track" nie obsługujemy i nie udajemy, że coś znaczy — nigdy nie powstał wspólny standard jego interpretacji.
Źródło 4 — Powiedział nam to ktoś inny
To źródło jest u nas puste. Celowo.
Nie kupujemy danych. Nie współpracujemy z brokerami danych, firmami dostarczającymi bazy adresowe ani dostawcami „danych o zainteresowaniach". Nie dokupujemy informacji o Tobie od firm marketingowych ani reklamowych.
Nie zaciągamy danych z mediów społecznościowych. Jeśli trafiłeś do nas z Facebooka czy Instagrama, nie pobieramy z tych platform Twojego profilu, listy znajomych ani historii aktywności.
Nie mamy list mailingowych z zakupu. Każdy adres na naszej liście zapisał się sam.
Piszemy to wprost, bo zdanie „możemy współpracować z firmami dostarczającymi dane osobowe" pojawia się w wielu politykach prywatności skopiowane z amerykańskich wzorów — i zobowiązuje do zupełnie innego zestawu obowiązków informacyjnych niż te, które faktycznie nas dotyczą.
Gdyby to się kiedyś zmieniło, pojawi się tutaj jako nowe źródło, zanim ruszy — nie po fakcie — i poinformujemy Cię o pochodzeniu danych w terminie, którego wymaga art. 14 RODO.
Czego w tej polityce nie ma, bo tego nie robimy
Polityka, która wymienia wszystko, co mogłoby istnieć, nie mówi nic. Dlatego wprost:
Nie mamy aplikacji mobilnej, programu lojalnościowego, forum, sekcji komentarzy ani sklepu stacjonarnego.
Nie organizujemy wydarzeń ani zapisów na wydarzenia, nie prowadzimy konkursów z rejestracją i nie zbieramy zdjęć profilowych ani nagrań wideo.
Nie nagrywamy rozmów i nie pytamy o datę urodzenia, numer PESEL, dane dowodu osobistego ani dane dostępowe do banku.
Nie przetwarzamy szczególnych kategorii danych — zdrowia, wyznania, poglądów politycznych, pochodzenia etnicznego, biometrii. Nie są nam potrzebne i o nie nie pytamy. Nie wysyłaj ich też do nas niepytany w wiadomości.
Nie prowadzimy zautomatyzowanego podejmowania decyzji ani profilowania wywołującego skutki prawne. Żaden algorytm nie decyduje, czy możesz kupić, ile zapłacisz ani jak skończy się Twoja reklamacja. Zawsze patrzy na to człowiek.
Nie monitorujemy żadnych „lokalizacji" ani obiektów. Adres w Olsztynie to adres korespondencyjny, nie magazyn i nie punkt obsługi.
Co dotyczy wszystkich czterech źródeł
Bezpieczeństwo
Szyfrowane połączenie w całym sklepie, łącznie z płatnością. Hasła przechowywane w postaci skrótu, dla nas nieczytelne. Dostęp do danych klientów ograniczony do osób, które go potrzebują. Dane kart, które nigdy nie przechodzą przez nasze systemy. Aktualizowane oprogramowanie i zabezpieczone kopie zapasowe.
Żadna metoda przesyłania i przechowywania danych nie jest w pełni bezpieczna, a kto obiecuje inaczej, obiecuje coś, czego nie może wiedzieć.
Jeżeli mimo to dojdzie do naruszenia
Naruszenie ochrony danych zgłaszamy Prezesowi UODO w ciągu 72 godzin od stwierdzenia, jeżeli wiąże się z ryzykiem dla Ciebie.
Gdy ryzyko jest wysokie, zawiadamiamy także Ciebie — bez zbędnej zwłoki, pisząc, co się stało, jakich danych dotyczy i co możesz zrobić.
Art. 33 i 34 RODO.
Przekazywanie poza Europejski Obszar Gospodarczy
Nasze własne przetwarzanie odbywa się w EOG. Część usług, z których korzystamy — zwłaszcza analityczne i reklamowe — może przetwarzać dane poza EOG.
Jeżeli tak się dzieje, odbywa się to na jednej z trzech podstaw:
- decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony dla danego państwa;
- Ramy ochrony danych UE–USA (EU–US Data Privacy Framework) dla certyfikowanych podmiotów amerykańskich;
- standardowe klauzule umowne Komisji Europejskiej wraz z dodatkowymi zabezpieczeniami tam, gdzie są potrzebne.
Chcesz wiedzieć, która podstawa dotyczy konkretnej usługi — napisz. Masz prawo o to zapytać, a my powinniśmy umieć odpowiedzieć.
Rozdział V RODO.
Podmioty przetwarzające
Usługi, które przetwarzają dane w naszym imieniu — hosting, platforma sklepowa, operator płatności, przewoźnik, poczta, analityka — działają na podstawie umowy powierzenia: mogą używać danych wyłącznie do tego, co im zleciliśmy, muszą je zabezpieczyć i usunąć lub zwrócić po zakończeniu współpracy.
Twoje prawa
Te prawa masz. Nie „w zależności od przepisów obowiązujących w Twoim kraju" i nie „mogą obejmować" — kupujesz jako konsument w polskim sklepie, więc obowiązuje RODO i obowiązuje w całości.
- Dostęp do danych, które o Tobie mamy, wraz z kopią
- Sprostowanie tego, co nieprawidłowe lub niekompletne
- Usunięcie, w zakresie, w jakim nie stoi temu na przeszkodzie obowiązek przechowywania dokumentacji
- Ograniczenie przetwarzania na czas sporu o prawidłowość danych lub podstawę
- Przenoszenie danych, które sam nam podałeś, w czytelnym formacie
- Sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie
- Wycofanie zgody w dowolnym momencie, bez wpływu na zgodność z prawem tego, co było wcześniej
- Skarga do Prezesa Urzędu Ochrony Danych Osobowych
Sprzeciw wobec marketingu bezpośredniego jest bezwzględny. Nie musisz go uzasadniać i nie mamy nic do powiedzenia — po prostu przestajemy.
Art. 15–22 RODO.
Jak z nich skorzystać
Napisz na pomoc@otulena.com. Zwykły e-mail wystarczy; formularz nie istnieje i nie jest potrzebny.
Odpowiadamy w ciągu miesiąca. Jeżeli sprawa jest złożona albo wniosków jest kilka, możemy przedłużyć o dwa miesiące — i mówimy o tym w ciągu pierwszego miesiąca, z podaniem przyczyny.
Nic to nie kosztuje. Dopiero przy żądaniu w sposób oczywisty nieuzasadnionym lub nadmiernie powtarzanym możemy pobrać opłatę albo odmówić, i wtedy wyjaśniamy dlaczego — przed, nie po.
Możemy poprosić o uprawdopodobnienie tożsamości, ale nie bardziej, niż to konieczne. Jeżeli zamawiałeś z danego adresu e-mail, wiadomość z tego adresu wystarczy. Nigdy nie poprosimy o skan dowodu osobistego, żebyś mógł zobaczyć własną historię zakupów.
Dzieci
Nasz sklep nie jest kierowany do dzieci i nie zbieramy świadomie ich danych.
W Polsce granica samodzielnej zgody wynosi 16 lat. Poniżej tego wieku potrzebna jest zgoda rodzica lub opiekuna. Jeżeli sądzisz, że dziecko przekazało nam dane bez takiej zgody — napisz, usuniemy je.
Art. 8 RODO oraz art. 8 ustawy o ochronie danych osobowych.
Strony innych podmiotów
Linkujemy na zewnątrz — do śledzenia przesyłki, do producenta, do mediów społecznościowych. Od momentu kliknięcia obowiązuje ich polityka, nie nasza. Link nie jest rekomendacją i nie mamy wpływu na to, co tamte serwisy zbierają.
Zmiany
Możemy zmienić tę politykę, gdy zaczniemy korzystać z nowej usługi albo robić coś innego z danymi. Obowiązująca wersja jest zawsze tutaj, z datą u góry.
Jeżeli zmieni się coś istotnego — nowy cel, nowa kategoria odbiorców, dłuższy okres przechowywania — powiadomimy Cię e-mailem, jeżeli mamy Twój adres, i poprosimy ponownie o zgodę tam, gdzie jest potrzebna. Nie liczymy na to, że sam zajrzysz na tę stronę.
Skarga
Najpierw napisz do nas — większość spraw da się załatwić tego samego dnia.
Jeżeli to nie wystarczy:
Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa uodo.gov.pl
Droga sądowa pozostaje otwarta. Skarga do Prezesa UODO nie jest jej warunkiem ani zamiennikiem.
Kontakt
Otulena Sp. z o.o.
Adres: ul. Juliana Tuwima 26, 10-748 Olsztyn, Polska
E-mail: pomoc@otulena.com
Telefon: +48 89 670 03 56
Godziny obsługi klienta: pon.–pt. 09:00–17:00.
Sob. i niedz. nieczynne.
Odpowiadamy w ciągu 1 dnia roboczego.