// LEGAL — GDPR / RODO · ART. 13

POLITYKA PRYWATNOŚCI

Privacy by architecture. Obowiązuje od: 01.01.2025

1.

ADMINISTRATOR DANYCH

Administratorem Twoich danych osobowych jest:
Castellium33 Sp. z o.o.
ul. Głogowska 82/22, 60-741 Poznań, Polska
KRS: 0001148433 · NIP: 7792581653
E-mail: sklep@castellium33.org

2.

ZASADA PRIVACY BY DESIGN

Castellium 33 zostało zbudowane zgodnie z zasadą privacy by design (RODO art. 25). Oznacza to, że ochrona prywatności jest wbudowana w architekturę systemu, a nie dodana jako warstwa zewnętrzna.
⬛ Adres e-mail przechowywany jest wyłącznie jako skrót SHA-256 — nigdy w postaci jawnej w bazie danych.
⬛ Adresy dostawy szyfrowane są algorytmem AES-256-GCM na poziomie wiersza w bazie danych.
⬛ Dane logowania przechowywane są wyłącznie jako skrót bcrypt.
⬛ Nie stosujemy cookies śledzących, reklamy behawioralnej ani analityki osób trzecich.
⬛ Infrastruktura hostingowa zlokalizowana jest wyłącznie na terenie EOG.

3.

JAKIE DANE PRZETWARZAMY I W JAKIM CELU

Przy rejestracji konta:
⬛ Skrót SHA-256 adresu e-mail (podstawa: art. 6 ust. 1 lit. b RODO — wykonanie umowy)
⬛ Skrót hasła (bcrypt)

Przy składaniu zamówienia:
⬛ Adres e-mail do potwierdzenia zamówienia — szyfrowany, usuwany po wysłaniu potwierdzenia (podstawa: art. 6 ust. 1 lit. b RODO)
⬛ Adres dostawy — szyfrowany AES-256-GCM, przechowywany do czasu realizacji dostawy (podstawa: art. 6 ust. 1 lit. b RODO)
⬛ Numer VAT firmy — gdy dotyczy (podstawa: art. 6 ust. 1 lit. c RODO — obowiązek prawny podatkowy)
⬛ Dane transakcji (kwota, waluta, metoda płatności, status) — 5 lat dla celów podatkowych (art. 6 ust. 1 lit. c RODO)

Dane, których NIE zbieramy:
⬛ Numer karty płatniczej — przetwarzany wyłącznie przez bramkę Mollie (PCI-DSS Level 1)
⬛ Historia przeglądania, pliki cookies śledzące
⬛ Dane biometryczne, dane o lokalizacji w czasie rzeczywistym

4.

ODBIORCY DANYCH

Twoje dane mogą być przekazane wyłącznie:
⬛ Mollie B.V. (Holandia) — operator płatności, wyłącznie dane niezbędne do realizacji transakcji
⬛ Przewoźnicy — dane adresowe niezbędne do dostawy
⬛ Organy publiczne — wyłącznie na podstawie obowiązujących przepisów prawa
Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych podmiotom trzecim w celach marketingowych.

5.

TWOJE PRAWA

Na podstawie RODO przysługują Ci następujące prawa:
⬛ Prawo dostępu (art. 15) — uzyskanie informacji o przetwarzanych danych
⬛ Prawo sprostowania (art. 16) — poprawienie nieprawidłowych danych
⬛ Prawo do usunięcia (art. 17) — “prawo do bycia zapomnianym”
⬛ Prawo do ograniczenia przetwarzania (art. 18)
⬛ Prawo do przenoszenia danych (art. 20)
⬛ Prawo sprzeciwu (art. 21)
Aby skorzystać z powyższych praw, skontaktuj się z nami na adres sklep@castellium33.org. Masz również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).
Uwaga techniczna: ponieważ adres e-mail przechowujemy wyłącznie jako skrót SHA-256, identyfikacja Twojego konta odbywa się na podstawie podanego przez Ciebie adresu e-mail (my go haszujemy i porównujemy). Nie możemy odtworzyć Twojego adresu z zapisanego skrótu.

6.

COOKIES I ŚLEDZENIE

Sklep używa wyłącznie niezbędnych plików session cookie do uwierzytelnienia i utrzymania sesji koszyka. Nie stosujemy:
⬛ Cookies analitycznych (Google Analytics, Matomo itp.)
⬛ Cookies reklamowych / remarketingowych
⬛ Pikseli śledzących portali społecznościowych
⬛ Skryptów do fingerprinting przeglądarki

7.

BEZPIECZEŃSTWO

Stosowane środki bezpieczeństwa technicznego:
⬛ Szyfrowanie TLS 1.3 dla całego ruchu sieciowego
⬛ AES-256-GCM dla danych PII w spoczynku
⬛ Separacja sieci: baza danych niewidoczna z internetu
⬛ JWT z krótkim czasem ważności (24h)
⬛ Rate limiting na endpoint logowania (Redis)
⬛ Regularne kopie zapasowe bazy danych (szyfrowane)

8.

ZMIANY POLITYKI

O istotnych zmianach niniejszej Polityki poinformujemy z wyprzedzeniem poprzez e-mail (w zakresie, w jakim posiadamy możliwość kontaktu z Tobą). Aktualna wersja zawsze dostępna jest pod adresem castellium33.org/privacy.
Data ostatniej aktualizacji: 01.01.2025