// LEGAL — GDPR / RODO · ART. 13

POLITYKA PRYWATNOŚCI

Privacy by architecture. Obowiązuje od: 01.01.2025

1.

ADMINISTRATOR DANYCH

Administratorem Twoich danych osobowych jest:
Castellium33 Sp. z o.o.
ul. Głogowska 82/22, 60-741 Poznań, Polska
KRS: 0001148433 · NIP: 7792581653
E-mail: sklep@castellium33.org

2.

ZASADA PRIVACY BY DESIGN

Castellium 33 zostało zbudowane zgodnie z zasadą privacy by design (RODO art. 25). Oznacza to, że ochrona prywatności jest wbudowana w architekturę systemu, a nie dodana jako warstwa zewnętrzna.
▪ Adres e-mail przechowywany jest wyłącznie jako skrót SHA-256 — nigdy w postaci jawnej w bazie danych.
▪ Adresy dostawy szyfrowane są algorytmem AES-256-GCM na poziomie wiersza w bazie danych.
▪ Dane logowania przechowywane są wyłącznie jako skrót bcrypt.
▪ Nie stosujemy cookies śledzących, reklamy behawioralnej ani analityki osób trzecich.
▪ Infrastruktura hostingowa zlokalizowana jest wyłącznie na terenie EOG.

3.

JAKIE DANE PRZETWARZAMY I W JAKIM CELU

Przy rejestracji konta:
▪ Skrót SHA-256 adresu e-mail (podstawa: art. 6 ust. 1 lit. b RODO — wykonanie umowy)
▪ Skrót hasła (bcrypt)

Przy składaniu zamówienia:
▪ Adres e-mail do potwierdzenia zamówienia — szyfrowany, usuwany po wysłaniu potwierdzenia (podstawa: art. 6 ust. 1 lit. b RODO)
▪ Adres dostawy — szyfrowany AES-256-GCM, przechowywany do czasu realizacji dostawy (podstawa: art. 6 ust. 1 lit. b RODO)
▪ Numer VAT firmy — gdy dotyczy (podstawa: art. 6 ust. 1 lit. c RODO — obowiązek prawny podatkowy)
▪ Dane transakcji (kwota, waluta, metoda płatności, status) — 5 lat dla celów podatkowych (art. 6 ust. 1 lit. c RODO)

Dane, których NIE zbieramy:
▪ Numer karty płatniczej — przetwarzany wyłącznie przez bramkę Mollie (PCI-DSS Level 1)
▪ Historia przeglądania, pliki cookies śledzące
▪ Dane biometryczne, dane o lokalizacji w czasie rzeczywistym

4.

ODBIORCY DANYCH

Twoje dane mogą być przekazane wyłącznie:
▪ Mollie B.V. (Holandia) — operator płatności, wyłącznie dane niezbędne do realizacji transakcji
▪ Przewoźnicy — dane adresowe niezbędne do dostawy
▪ Organy publiczne — wyłącznie na podstawie obowiązujących przepisów prawa
Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych podmiotom trzecim w celach marketingowych.

5.

TWOJE PRAWA

Na podstawie RODO przysługują Ci następujące prawa:
▪ Prawo dostępu (art. 15) — uzyskanie informacji o przetwarzanych danych
▪ Prawo sprostowania (art. 16) — poprawienie nieprawidłowych danych
▪ Prawo do usunięcia (art. 17) — “prawo do bycia zapomnianym”
▪ Prawo do ograniczenia przetwarzania (art. 18)
▪ Prawo do przenoszenia danych (art. 20)
▪ Prawo sprzeciwu (art. 21)
Aby skorzystać z powyższych praw, skontaktuj się z nami na adres sklep@castellium33.org. Masz również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).
Uwaga techniczna: ponieważ adres e-mail przechowujemy wyłącznie jako skrót SHA-256, identyfikacja Twojego konta odbywa się na podstawie podanego przez Ciebie adresu e-mail (my go haszujemy i porównujemy). Nie możemy odtworzyć Twojego adresu z zapisanego skrótu.

6.

COOKIES I ŚLEDZENIE

Sklep używa wyłącznie niezbędnych plików session cookie do uwierzytelnienia i utrzymania sesji koszyka. Nie stosujemy:
▪ Cookies analitycznych (Google Analytics, Matomo itp.)
▪ Cookies reklamowych / remarketingowych
▪ Pikseli śledzących portali społecznościowych
▪ Skryptów do fingerprinting przeglądarki

7.

BEZPIECZEŃSTWO

Stosowane środki bezpieczeństwa technicznego:
▪ Szyfrowanie TLS 1.3 dla całego ruchu sieciowego
▪ AES-256-GCM dla danych PII w spoczynku
▪ Separacja sieci: baza danych niewidoczna z internetu
▪ JWT z krótkim czasem ważności (24h)
▪ Rate limiting na endpoint logowania (Redis)
▪ Regularne kopie zapasowe bazy danych (szyfrowane)

8.

ZMIANY POLITYKI

O istotnych zmianach niniejszej Polityki poinformujemy z wyprzedzeniem poprzez e-mail (w zakresie, w jakim posiadamy możliwość kontaktu z Tobą). Aktualna wersja zawsze dostępna jest pod adresem castellium33.org/privacy.
Data ostatniej aktualizacji: 01.01.2025