DOKUMENTACJA OCHRONY DANYCH OSOBOWYCH

Sklep internetowy BoBA Centrum Rehabilitacji i Terapii Bogna Mikołajczak

Administrator danych:
BoBA Centrum Rehabilitacji i Terapii Bogna Mikołajczak
ul. Wiosenna 66, 62-081 Baranowo
NIP: 7831628495
E-mail: [bognamikolajczak1@wp.pl]
Data opracowania: [19.10.2026r.]

Dokument 1. Rejestr czynności przetwarzania danych osobowych

Czynność 1. Obsługa zamówień w sklepie internetowym

Cel przetwarzania: przyjmowanie zamówień, zawieranie i wykonywanie umów sprzedaży produktów cyfrowych, przekazywanie dostępu do zakupionych treści i obsługa klienta.

Kategorie osób: klienci sklepu, osoby składające zamówienia.

Kategorie danych: imię i nazwisko, adres e-mail, dane zamówienia, dane rozliczeniowe oraz inne informacje niezbędne do realizacji umowy.

Podstawa prawna: art. 6 ust. 1 lit. b RODO.

Odbiorcy danych: dostawca platformy sklepowej, hosting, dostawca poczty elektronicznej oraz podmioty wspierające realizację zamówień, jeżeli są wykorzystywane.

Okres przechowywania: przez okres realizacji umowy, a następnie przez okres niezbędny do rozpatrywania roszczeń i spełnienia obowiązków prawnych.

Zabezpieczenia: ograniczenie dostępu, indywidualne konta użytkowników, silne hasła, aktualizacje oprogramowania i kopie zapasowe – w zakresie wdrożonym przez Administratora i dostawców.

Czynność 2. Płatności i rozliczenia

Cel przetwarzania: obsługa płatności, identyfikacja transakcji, zwroty i rozliczenia księgowe.

Kategorie osób: klienci sklepu.

Kategorie danych: dane identyfikacyjne i transakcyjne oraz dane wymagane przez operatora płatności lub do wystawienia dokumentów księgowych.

Podstawa prawna: art. 6 ust. 1 lit. b i c RODO.

Odbiorcy: Przelewy24 lub inny faktycznie wykorzystywany operator płatności, banki w zakresie niezbędnym do realizacji transakcji oraz podmioty księgowe.

Okres przechowywania: zgodnie z obowiązkami podatkowymi i rachunkowymi oraz okresem niezbędnym do rozliczenia umowy.

Czynność 3. Obsługa zapytań i reklamacji

Cel przetwarzania: udzielanie odpowiedzi, rozwiązywanie problemów, obsługa reklamacji i odstąpień od umowy.

Kategorie osób: klienci i osoby kontaktujące się ze sklepem.

Kategorie danych: imię i nazwisko, dane kontaktowe, numer zamówienia, treść korespondencji i dane niezbędne do rozpatrzenia sprawy.

Podstawa prawna: art. 6 ust. 1 lit. b, c lub f RODO, w zależności od konkretnej sprawy.

Odbiorcy: dostawca poczty, obsługa prawna lub techniczna, jeżeli udział tych podmiotów jest niezbędny.

Okres przechowywania: przez czas obsługi sprawy i okres uzasadniony potrzebą wykazania jej przebiegu lub obrony przed roszczeniami.

Czynność 4. Obowiązki księgowe i podatkowe

Cel przetwarzania: prowadzenie dokumentacji księgowej, wystawianie faktur i realizacja obowiązków podatkowych.

Kategorie osób: klienci i kontrahenci.

Kategorie danych: dane identyfikacyjne, adresowe, firmowe i transakcyjne wymagane przepisami.

Podstawa prawna: art. 6 ust. 1 lit. c RODO.

Odbiorcy: biuro rachunkowe, organy publiczne uprawnione na podstawie prawa.

Okres przechowywania: przez okres wymagany właściwymi przepisami.

Czynność 5. Bezpieczeństwo strony internetowej

Cel przetwarzania: zapewnienie bezpieczeństwa systemów, wykrywanie nadużyć i zapobieganie nieuprawnionemu dostępowi.

Kategorie osób: użytkownicy strony i klienci.

Kategorie danych: adres IP, logi techniczne, informacje o urządzeniu i zdarzeniach związanych z bezpieczeństwem, w zakresie rzeczywiście rejestrowanym.

Podstawa prawna: art. 6 ust. 1 lit. f RODO, o ile spełnione są przesłanki prawnie uzasadnionego interesu.

Odbiorcy: dostawca hostingu i usług bezpieczeństwa, jeśli są wykorzystywani.

Okres przechowywania: przez okres niezbędny do zapewnienia bezpieczeństwa, zgodnie z rzeczywistą konfiguracją systemu.

Czynność 6. Marketing i newsletter – jeżeli będą prowadzone

Cel przetwarzania: przesyłanie newslettera i informacji handlowych.

Kategorie osób: osoby, które zapisały się na newsletter lub udzieliły wymaganych zgód.

Kategorie danych: adres e-mail, informacje o zgodach i preferencjach komunikacyjnych.

Podstawa prawna: właściwa podstawa z art. 6 RODO oraz odrębne zgody wymagane przepisami dotyczącymi komunikacji elektronicznej.

Odbiorcy: dostawca narzędzia newsletterowego, jeżeli jest wykorzystywany.

Okres przechowywania: do czasu wycofania zgody lub wniesienia sprzeciwu, zależnie od podstawy, z uwzględnieniem niezbędnego zachowania dowodów zgód i sprzeciwów.

Dokument 2. Procedura realizacji praw osób

1. Wniosek osoby, której dane dotyczą, przyjmuje się na adres e-mail Administratora lub korespondencyjnie.

2. Administrator ustala zakres żądania i w razie potrzeby weryfikuje tożsamość wnioskodawcy.

3. Wniosek jest rozpatrywany bez zbędnej zwłoki, co do zasady w ciągu miesiąca. W przypadkach przewidzianych RODO termin może zostać przedłużony o kolejne dwa miesiące, z poinformowaniem wnioskodawcy o przyczynach opóźnienia.

4. Administrator ocenia, czy żądanie dotyczy dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia danych, sprzeciwu lub wycofania zgody.

5. Administrator sprawdza, czy istnieją podstawy prawne do dalszego przechowywania danych, np. obowiązki podatkowe.

6. Przebieg realizacji wniosku oraz udzieloną odpowiedź dokumentuje się w sposób umożliwiający wykazanie wykonania obowiązków.

7. Jeżeli Administrator odmawia realizacji żądania, przekazuje uzasadnienie i informację o prawie wniesienia skargi do Prezesa UODO, zgodnie z wymaganiami RODO.

Dokument 3. Procedura reagowania na naruszenia ochrony danych

1. Każda osoba działająca w imieniu Administratora, która zauważy możliwe naruszenie, niezwłocznie zgłasza je Administratorowi.

2. Administrator zabezpiecza dostępne informacje o zdarzeniu i podejmuje działania ograniczające jego skutki.

3. Administrator ocenia rodzaj naruszenia, zakres danych, liczbę osób, możliwe konsekwencje i ryzyko dla praw lub wolności osób fizycznych.

4. Naruszenie dokumentuje się wraz z jego okolicznościami, skutkami i działaniami naprawczymi.

5. Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób, Administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

6. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób, Administrator zawiadamia osoby, których dane dotyczą, chyba że zachodzi ustawowy wyjątek.

7. Administrator dokumentuje także decyzję o niezgłoszeniu naruszenia wraz z uzasadnieniem.

Dokument 4. Zasady nadawania dostępu do danych

1. Dostęp do danych mają wyłącznie osoby, którym jest on niezbędny do wykonywania powierzonych zadań.

2. Każda osoba uprawniona do dostępu jest zobowiązana do zachowania poufności i przestrzegania zasad bezpieczeństwa.

3. Dostęp jest ograniczany po zakończeniu współpracy lub ustaniu potrzeby jego posiadania.

4. Hasła nie mogą być udostępniane osobom nieuprawnionym. W miarę możliwości stosuje się uwierzytelnianie wieloskładnikowe.

5. Administrator regularnie sprawdza uprawnienia i dostępność aktualizacji systemów wykorzystywanych do obsługi sklepu.

Dokument 5. Weryfikacja umów powierzenia danych

Administrator sprawdza, czy podmioty przetwarzające dane na jego zlecenie mają odpowiednie podstawy do przetwarzania oraz czy – jeżeli wymagają tego przepisy – zawarto z nimi umowy powierzenia.

Weryfikacji wymagają w szczególności:

• dostawca platformy sklepowej;

• dostawca hostingu;

• dostawca poczty elektronicznej;

• operator narzędzia newsletterowego, jeśli jest używany;

• dostawca narzędzi analitycznych lub reklamowych, jeśli przetwarza dane na zlecenie;

• biuro rachunkowe, w zakresie, w jakim działa jako podmiot przetwarzający.

Nie każdy odbiorca danych jest podmiotem przetwarzającym. Rolę każdego dostawcy należy ocenić na podstawie rzeczywistego sposobu świadczenia usług.

Postanowienie końcowe

Dokumentacja powinna być aktualizowana, gdy zmieni się sposób prowadzenia sklepu, zakres danych, dostawcy usług lub cele przetwarzania.

Dokumenty stanowią projekt do dostosowania do rzeczywistej działalności Administratora. Nie należy potwierdzać wdrożenia środków bezpieczeństwa, których faktycznie nie zastosowano.