Polityka Prywatności

1. Administrator danych

Administratorem danych osobowych jest:

2. Cele i podstawy prawne przetwarzania

Dane osobowe przetwarzane są w następujących celach i na następujących podstawach prawnych:

Faktura na firmę. Dane do faktury, które podasz w kasie, zapisuję przy zamówieniu, a przy subskrypcji także w jej ustawieniach, bo z nich wystawiam fakturę po każdej płatności. Faktura musi zawierać NIP, nazwę i adres nabywcy (art. 106e ust. 1 pkt 3 i 5 ustawy o VAT). Jeśli kupujesz jako firma i posługujesz się przy tym zakupie NIP-em, ustawa o VAT zobowiązuje Cię do jego podania (art. 106ba). Bez NIP-u nie wystawię faktury na firmę. Wystawionej faktury nie usunę na żądanie: jej wystawienie i przechowanie nakazują przepisy podatkowe.

Nazwę, adres i status VAT firmy sprawdzam w Wykazie podatników VAT. Wykaz prowadzi Szef Krajowej Administracji Skarbowej i udostępnia go publicznie w Biuletynie Informacji Publicznej Ministerstwa Finansów. Wysyłam do niego tylko NIP i dzień, na który sprawdzam: dzień wpisania NIP-u w kasie albo dzień zapłaty. Wykaz odsyła cały wpis firmy, a w nim także numery rachunków albo imiona, nazwiska i NIP-y osób, które ją reprezentują, prokurentów i wspólników. Tych danych nie zapisuję: serwer odrzuca je zaraz po sprawdzeniu. Zapisuję nazwę, NIP, REGON i numer KRS firmy, adresy z Wykazu, status VAT z datami jego zmian (rejestracja, odmowa rejestracji, wykreślenie, przywrócenie, zwolnienie) i podstawami prawnymi odmowy, wykreślenia i przywrócenia oraz dzień, na który sprawdzam, numer i czas sprawdzenia. Gdy firmę prowadzą osoby fizyczne (jednoosobowa działalność gospodarcza, spółka cywilna), są to ich dane osobowe: imię i nazwisko w nazwie firmy, adres, który może być adresem zamieszkania, NIP i REGON.

Podstawą sprawdzenia w Wykazie i zapisu jego wyniku jest uzasadniony interes (art. 6 ust. 1 lit. f RODO): faktura musi mieć poprawne dane nabywcy, a ja muszę umieć wykazać, skąd one pochodzą.

Prawo sprzeciwu. Możesz w każdej chwili wnieść sprzeciw wobec sprawdzania NIP-u Twojej firmy w Wykazie i przechowywania wyniku (art. 21 RODO): kontakt@puding.pl.

3. Odbiorcy danych

Dane osobowe mogą być przekazywane następującym odbiorcom:

• InPost S.A. - realizacja dostaw (Paczkomaty, Kurier)
• Autopay S.A. - obsługa płatności elektronicznych (BLIK, przelewy, karty i płatności cykliczne)
• Szef Krajowej Administracji Skarbowej - Krajowy System e-Faktur (KSeF): faktura na firmę (NIP, nazwa i adres firmy, kupione produkty, kwoty, numer i data zamówienia, przy subskrypcji jej numer, dzień zapłaty); Szef KAS prowadzi KSeF i jest administratorem danych w nim zawartych, a fakturę otrzymuje w KSeF także Twoja firma
• Szef Krajowej Administracji Skarbowej - Wykaz podatników VAT: przy sprawdzeniu NIP-u tylko NIP i dzień, na który sprawdzam (sekcja 2)
• Dostawca programu do faktur - dane do faktury i faktury, dopóki wystawiam faktury w tym programie, a nie ze sklepu
• InPost Pay - alternatywna metoda płatności
• InPost Buy - sprzedaż przez aplikację InPost Mobile (zob. sekcja 3a)
• Supabase Inc. - baza danych zamówień
• Vercel Inc. - hosting strony internetowej
• Google Ireland Ltd. - statystyki odwiedzin (Google Analytics 4), wyłącznie po Twojej zgodzie w banerze cookies
• OpenAI Ireland Ltd. - pomiar skuteczności reklam w ChatGPT (piksel i interfejs konwersji OpenAI Ads), wyłącznie po Twojej zgodzie w banerze cookies; otrzymuje identyfikator kliknięcia reklamy, kwotę i numer zamówienia, zaszyfrowany jednokierunkowo (SHA-256) adres e-mail i numer telefonu, kod pocztowy i miejscowość dostawy oraz adres IP i nazwę przeglądarki z chwili zamówienia, bez imienia, nazwiska, ulicy i numeru domu

Administrator nie przechowuje danych płatniczych (numery kart, dane kont) - są one przetwarzane wyłącznie przez operatorów płatności.

3a. Zamówienia przez InPost Buy

Sklep udostępnia produkty również w aplikacji InPost Mobile za pośrednictwem InPost Buy. W przypadku zamówień składanych w tym kanale Administratorem danych w trakcie procesu zakupu pozostaje InPost Group, a Sprzedawca otrzymuje dane Klienta po stronie operacyjnej (realizacja zamówienia, wysyłka, faktura) zgodnie z modelem privacy by design InPost Buy:

• Adres e-mail Klienta jest przekazywany Sprzedawcy w postaci zaszyfrowanej (hash). Pełny adres e-mail Klienta nie jest przechowywany przez Sprzedawcę.
• Pełny, niezaszyfrowany adres e-mail przekazywany jest wyłącznie w danych do faktury (gdy Klient zażądał faktury) oraz wyłącznie po akceptacji i opłaceniu zamówienia.
• Imię, nazwisko, adres dostawy i numer telefonu Klient otrzymuje Sprzedawca po akceptacji zamówienia - wyłącznie w celu realizacji wysyłki.
• Wysyłka realizowana jest przez InPost ShipX (mechanizm InPost Group) - Sprzedawca nie przekazuje numeru śledzenia paczki samodzielnie.

Szczegóły działania kanału i przetwarzania danych w aplikacji InPost Mobile reguluje polityka prywatności InPost Group, dostępna pod adresem inpost.pl/regulamin-mobile.

4. Przekazywanie danych poza EOG

W związku z korzystaniem z usług Vercel, Supabase, a po Twojej zgodzie także Google i OpenAI, dane mogą być przekazywane do Stanów Zjednoczonych na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską oraz decyzji EU-US Data Privacy Framework.

5. Okres przechowywania danych

• Dane zamówień - 5 lat od końca roku ostatniej transakcji, a gdy przepisy podatkowe wymagają dłużej, do upływu terminu przedawnienia zobowiązania podatkowego: co do zasady 5 lat od końca roku, w którym upłynął termin płatności podatku (art. 70 § 1 Ordynacji podatkowej)
• Dane do faktury i faktury (NIP, nazwa i adres firmy, faktura, jej projekt i potwierdzenie przyjęcia z KSeF) - tak jak dane zamówień; w KSeF faktura jest przechowywana przez 10 lat od końca roku jej wystawienia (art. 112aa ustawy o VAT)
• Wynik sprawdzenia NIP-u w Wykazie podatników VAT - 30 dni od sprawdzenia; nazwa, adres, status VAT, czas i numer sprawdzenia przeniesione do zamówienia albo faktury - tak jak dane zamówień
• Dane reklamacyjne - przez okres trwania rękojmi lub gwarancji
• Newsletter - do momentu wycofania zgody
• Imię podane do publikacji opinii - do momentu wycofania zgody; po wycofaniu opinia znika ze strony w ciągu 7 dni
• Statystyka odwiedzin - 12 miesięcy, potem rekordy są kasowane
• Skrót adresu IP w liczniku zapytań (logowanie kodem, sprawdzanie kodu polecenia i NIP-u firmy) - godzina; kasujemy go przy najbliższym kolejnym zapytaniu

6. Prawa użytkownika

Przysługują Ci następujące prawa:

• Prawo dostępu - informacja jakie dane przetwarzamy
• Prawo do sprostowania - poprawienie nieprawidłowych danych
• Prawo do usunięcia - prawo do bycia zapomnianym
• Prawo do ograniczenia przetwarzania
• Prawo do przenoszenia danych
• Prawo do sprzeciwu
• Prawo do wycofania zgody - w każdej chwili

Kontakt: kontakt@puding.pl

7. Prawo do skargi

8. Profilowanie

Administrator nie podejmuje zautomatyzowanych decyzji, w tym decyzji opartych na profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na użytkownika.

10. Newsletter

1. Zapisanie się na newsletter wymaga podania adresu e-mail i potwierdzenia dobrowolnej zgody przez link wysłany na ten adres. Bez kliknięcia linku zapis nie jest aktywny.

2. Zgodę można wycofać w każdej chwili przez link wypisu w każdej wiadomości marketingowej albo przez kontakt na adres: kontakt@puding.pl. Wypis nie zatrzymuje wiadomości niezbędnych do realizacji zamówienia lub subskrypcji.

3. Dla celów dowodowych zapisujemy adres, datę prośby i potwierdzenia, źródło formularza oraz wersję treści zgody.

Data ostatniej aktualizacji: 14 października 2026 r.