POLITYKA PRYWATNOŚCI

Platforma autoklamoty.pl

Auto Klamoty sp. z o.o.

Wersja 2.0 — obowiązująca — spójna z Regulaminem Platformy v2.0

Niniejsza Polityka Prywatności (wersja 2.0) zastępuje wersję z dnia 27 marca 2026 r. i została zaktualizowana w celu zapewnienia pełnej spójności z Regulaminem Platformy autoklamoty.pl w wersji 2.0, w szczególności w zakresie przetwarzania danych w procesach KYC, AML, Okresu Ochronnego, Portfela Sprzedawcy oraz Planów Subskrypcji.

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest:

Auto Klamoty sp. z o.o., ul. A. Szamarzewskiego 21/2, 60-514 Poznań, NIP: 7812075658, REGON: 529568691, KRS: 0001125289.

Kontakt w sprawach ogólnych: biuro@autoklamoty.pl. Kontakt w sprawach DSA oraz dla organów: dsa.gov@autoklamoty.pl.

2. Jakie dane zbieramy?

2a. Dane rejestracyjne Sprzedawcy (proces KYC — §4 Regulaminu)

W ramach obowiązkowej weryfikacji Sprzedawcy zbieramy następujące dane:

• imię i nazwisko lub nazwę firmy, adres siedziby, NIP, REGON, KRS

• adres e-mail i numer telefonu osoby uprawnionej do reprezentacji

• dokumenty rejestrowe: wypis z CEIDG lub KRS, weryfikacja NIP/REGON w bazie GUS

• skan dokumentu tożsamości osoby uprawnionej do reprezentacji Sprzedawcy (przechowywany przez 5 lat od zakończenia relacji lub odmowy rejestracji)

• dokument potwierdzający autoryzację marki lub status autoryzowanego dystrybutora (jeżeli dotyczy)

• numer firmowego rachunku bankowego (rachunki osobiste nie są akceptowane)

• kod PKD działalności (45.31.Z, 45.32.Z lub pokrewne)

• wyniki sprawdzenia list sankcyjnych UE i międzynarodowych

2b. Dane rejestracyjne Kupującego

Od Kupujących zbieramy: imię i nazwisko lub nazwę firmy, adres e-mail, numer telefonu oraz adres dostawy. W przypadku Przedsiębiorców wymagany jest również NIP.

2c. Dane transakcyjne i rozliczeniowe

Przetwarzamy historię zamówień i transakcji, statusy płatności, dane Portfela Sprzedawcy oraz Okresu Ochronnego środków (minimalnie 7 dni roboczych od potwierdzenia dostawy; maksymalny czas wstrzymania środków w sporze wynosi 21 dni roboczych — §7.2 Regulaminu), a także informacje o wybranym Planie Subskrypcji i historii opłat. Wystawiamy zbiorcze faktury VAT Sprzedawcom obejmujące opłatę subskrypcyjną i serwisową. Dane płatnicze są przetwarzane przez operatora PayU — nie przechowujemy danych kart płatniczych.

2d. Dane AML/compliance

W związku z obowiązkami ustawowymi przechowujemy dokumenty potwierdzające legalne pochodzenie Produktów (na żądanie), wyniki monitoringu transakcji pod kątem AML (w tym transakcje powyżej 15 000 EUR), dokumentację weryfikacji list sankcyjnych oraz korespondencję z GIIF (Generalnym Inspektorem Informacji Finansowej).

2e. Dane techniczne i integracyjne

Zbieramy dane techniczne, takie jak adres IP, pliki cookies, dane o urządzeniu i przeglądarce oraz logi aktywności. W ramach integracji API (BaseLinker i partnerzy) przetwarzamy również dane ofertowe (ceny, opisy, stany magazynowe, ID produktów) oraz dane transakcyjne (numery zamówień, statusy, dane logistyczne, tokeny API).

3. Cele i podstawy prawne przetwarzania danych

Twoje dane przetwarzamy wyłącznie w określonych celach i w oparciu o właściwe podstawy prawne wynikające z RODO:

• Obsługa konta, zamówień i transakcji na Platformie — art. 6 ust. 1 lit. b RODO (wykonanie umowy; §3, §5–6, §7 Regulaminu).

• Weryfikacja Sprzedawcy (KYC) i sprawdzenie list sankcyjnych — art. 6 ust. 1 lit. c (obowiązek prawny wynikający z przepisów AML) oraz lit. f (uzasadniony interes — compliance; §4 Regulaminu).

• Obsługa Okresu Ochronnego i Portfela Sprzedawcy — art. 6 ust. 1 lit. b RODO (wykonanie umowy pośrednictwa; §7.2, §7.4 Regulaminu).

• Obsługa Planów Subskrypcji i pobieranie opłat — art. 6 ust. 1 lit. b RODO (§8 Regulaminu).

• Wystawianie zbiorczych faktur VAT — art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z przepisów podatkowych; §7.3, §7.5 Regulaminu).

• Monitoring transakcji AML, w tym transakcji powyżej 15 000 EUR — art. 6 ust. 1 lit. c RODO (ustawa AML 2018; §9 Regulaminu, PRO-AML-001).

• Współpraca z GIIF i archiwizacja dokumentacji AML/KYC — art. 6 ust. 1 lit. c RODO (§9 pkt 64–65 Regulaminu).

• Obsługa procesu reklamacyjnego — art. 6 ust. 1 lit. b, c i f RODO (wykonanie umowy, obowiązek prawny wynikający z ustawy o prawach konsumenta, uzasadniony interes Operatora; §11, §12 Regulaminu).

• Moderacja treści, zawieszanie kont, obsługa skarg DSA — art. 6 ust. 1 lit. c i f RODO (DSA art. 11, 17; §13 Regulaminu).

• Weryfikacja opinii o Sprzedawcach i Produktach — art. 6 ust. 1 lit. f RODO (uzasadniony interes — wiarygodność platformy; §14 Regulaminu).

• Marketing bezpośredni — wyłącznie na podstawie Twojej uprzedniej zgody (art. 6 ust. 1 lit. a RODO).

• Analityka i statystyki Platformy — art. 6 ust. 1 lit. f RODO (uzasadniony interes).

• Techniczna realizacja integracji API (BaseLinker, partnerzy) — art. 6 ust. 1 lit. b i f RODO oraz art. 18 ust. 5 ustawy o świadczeniu usług drogą elektroniczną (§1 pkt 3 Regulaminu; §4 niniejszej Polityki).

4. Przetwarzanie danych w ramach integracji z zewnętrznymi platformami

W ramach integracji API z platformami zewnętrznymi (m.in. BaseLinker) przetwarzamy dane ofertowe (ceny, opisy produktów, zdjęcia, kategorie, numery katalogowe), stany magazynowe i dostępność produktów, dane transakcyjne (numery zamówień, statusy płatności, dane logistyczne) oraz identyfikatory techniczne (ID produktów, ID zamówień, tokeny API). Dane te nie zawierają informacji osobowych użytkowników, chyba że są niezbędne do realizacji zamówienia (np. adres dostawy w danych transakcyjnych).

Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. b i f RODO oraz art. 18 ust. 5 ustawy o świadczeniu usług drogą elektroniczną. Dane z integracji nie są wykorzystywane przez autoklamoty.pl do celów marketingowych ani handlowych.

Krótkotrwały cache jest automatycznie czyszczony po zakończeniu sesji lub co 24 godziny. Logi techniczne są przechowywane do 30 dni wyłącznie w celach diagnostycznych i nie zawierają danych osobowych użytkowników (poza numerami zamówień niezbędnymi do realizacji).

Dostęp do danych z integracji mają wyłącznie upoważnieni pracownicy (administratorzy IT, wsparcie techniczne) i systemy automatyczne. Dane udostępniane są podmiotom przetwarzającym (np. BaseLinker) na podstawie umowy powierzenia (art. 28 RODO) i nie są analizowane do innych celów. Stosujemy szyfrowanie SSL/TLS w transmisji, zasadę minimalnych uprawnień (need-to-know), regularne audyty bezpieczeństwa oraz monitorowanie i logowanie dostępu do danych.

5. Komu przekazujemy dane?

Twoje dane mogą być przekazywane następującym kategoriom odbiorców:

• PayU S.A. — realizacja płatności, obsługa Bramki Płatniczej, Okresu Ochronnego i wypłat do Sprzedawców (art. 6 ust. 1 lit. b RODO; umowa powierzenia).

• BaseLinker i partnerzy API — synchronizacja ofert, stanów magazynowych i zamówień w ramach integracji, wyłącznie w zakresie technicznym (art. 28 RODO — umowa powierzenia).

• Dostawcy usług IT (hosting, oprogramowanie, bezpieczeństwo) — zapewnienie infrastruktury technicznej Platformy (art. 28 RODO — umowa powierzenia).

• Biuro rachunkowe — rozliczenia finansowe i księgowość (art. 28 RODO — umowa powierzenia).

• GIIF (Generalny Inspektor Informacji Finansowej) — obowiązki informacyjne wynikające z ustawy AML, dotyczące podejrzanych transakcji i transakcji powyżej 15 000 EUR (art. 6 ust. 1 lit. c RODO — obowiązek prawny).

• Organy państwowe (US, ZUS, organy ścigania) — wyłącznie na podstawie przepisów prawa lub prawomocnych postanowień (art. 6 ust. 1 lit. c RODO).

• Punkty kontaktowe DSA — organy państw członkowskich UE, Komisja Europejska, Rada Usług Cyfrowych — w zakresie wymaganym przez Rozporządzenie UE 2022/2065 (art. 6 ust. 1 lit. c RODO; art. 11 DSA).
  
  

Nie sprzedajemy danych osobowych podmiotom trzecim w celach marketingowych.

6. Przekazywanie danych poza EOG

Operator dokłada wszelkich starań, aby dane były przetwarzane na terenie Europejskiego Obszaru Gospodarczego (EOG). W przypadku konieczności przekazania danych poza EOG (np. przez dostawców usług IT lub integracji API), odbywa się to wyłącznie z zastosowaniem odpowiednich zabezpieczeń: standardowych klauzul umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) oraz — tam, gdzie jest to wymagane — ocen skutków transferu (TIA). W przypadku pytań o konkretnych odbiorców danych poza EOG prosimy o kontakt: biuro@autoklamoty.pl.

7. Okres przechowywania danych

Dane przechowujemy przez następujące okresy:

• Dane konta Użytkownika: przez czas trwania konta oraz 3 lata po jego usunięciu (możliwe roszczenia cywilne).

• Dane transakcyjne i faktury: 5 lat od końca roku podatkowego (obowiązek podatkowy — Ordynacja podatkowa).

• Dane Portfela Sprzedawcy i Okresu Ochronnego: 5 lat od końca roku podatkowego (§7 Regulaminu; obowiązek podatkowy).

• Dokumentacja KYC Sprzedawcy (skany dokumentów, wyniki weryfikacji): 5 lat od końca roku kalendarzowego weryfikacji lub zakończenia relacji (art. 49 ustawy AML; §9 pkt 65 Regulaminu).

• Dokumentacja AML (monitoring transakcji, zawiadomienia GIIF): 5 lat od końca roku kalendarzowego transakcji (art. 49 ustawy AML; §9 pkt 65 Regulaminu).

• Dane marketingowe: do czasu wycofania zgody (art. 6 ust. 1 lit. a RODO).

• Logi techniczne Platformy: do 12 miesięcy (uzasadniony interes — bezpieczeństwo).

• Logi z integracji API: do 30 dni (diagnostyka techniczna; §4.3 Polityki Prywatności).

• Dokumentacja decyzji moderacyjnych DSA i odwołań: 6 miesięcy od wydania decyzji (termin odwołania) plus czas trwania ewentualnego postępowania (§13 pkt 93 Regulaminu; art. 17 DSA).

• Dane do rozpatrywania sporów (mediacja, ODR): do czasu ostatecznego rozstrzygnięcia sporu plus 3 lata (§15 Regulaminu).
  
  

8. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Prawo dostępu do danych (art. 15 RODO) — możesz uzyskać informację o tym, jakie dane przetwarzamy, w jakim celu i komu je udostępniamy.

• Prawo do sprostowania danych (art. 16 RODO) — możesz zażądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.

• Prawo do usunięcia danych — „prawo do bycia zapomnianym” (art. 17 RODO) — z zastrzeżeniem obowiązków przechowywania wynikających z prawa (AML, podatkowe) oraz bezpieczeństwa Platformy.

• Prawo do ograniczenia przetwarzania (art. 18 RODO) — możesz zażądać czasowego wstrzymania przetwarzania w określonych sytuacjach.

• Prawo do przenoszalności danych (art. 20 RODO) — dotyczy danych podanych przez Ciebie, przetwarzanych na podstawie zgody lub umowy.

• Prawo do sprzeciwu (art. 21 RODO) — w zakresie przetwarzania opartego na uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO).

• Prawo do wycofania zgody (art. 7 ust. 3 RODO) — w dowolnym momencie, bez wpływu na zgodność wcześniejszego przetwarzania z prawem.

• Prawo do złożenia skargi do UODO (art. 77 RODO) — do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

Aby skorzystać ze swoich praw lub złożyć wniosek dotyczący danych, skontaktuj się z nami: biuro@autoklamoty.pl (sprawy ogólne) lub dsa.gov@autoklamoty.pl (sprawy DSA i instytucje). Wnioski dotyczące danych przetwarzanych w ramach integracji API lub procesu AML/KYC należy kierować na adres biuro@autoklamoty.pl z dopiskiem „RODO – integracja” lub „RODO – AML”.

9. Pliki cookies i technologie śledzące

Stosujemy cztery kategorie plików cookies. Cookies niezbędne są stosowane domyślnie bez Twojej zgody — obsługują logowanie, utrzymanie sesji, koszyk, płatności i bezpieczeństwo. Cookies analityczne (analiza ruchu, popularne strony, ulepszanie Platformy), funkcjonalne (zapamiętywanie preferencji, personalizacja) i marketingowe (reklamy dopasowane do zainteresowań, remarketing) wymagają Twojej uprzedniej zgody.

Podczas pierwszej wizyty na Platformie wyświetlamy baner zarządzania zgodami. Możesz w dowolnym momencie zmienić preferencje lub wycofać zgodę za pośrednictwem panelu zarządzania zgodami dostępnego w stopce Platformy. Wyłączenie niezbędnych plików cookies w ustawieniach przeglądarki może uniemożliwić prawidłowe korzystanie z kluczowych funkcji Platformy, w szczególności logowania, koszyka i realizacji płatności.

10. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne zgodne z art. 32 RODO, w tym: szyfrowanie SSL/TLS w transmisji danych, kontrolę i ograniczenie dostępu do systemów (zasada need-to-know), regularne kopie zapasowe i testy odtworzeniowe, szkolenia personelu z zakresu ochrony danych osobowych, regularne audyty bezpieczeństwa systemów integracyjnych API, monitorowanie i logowanie dostępu do danych wrażliwych (KYC, AML) oraz procedury reagowania na incydenty bezpieczeństwa danych.

11. Punkty kontaktowe DSA (Rozporządzenie UE 2022/2065)

Zgodnie z art. 11 i 12 DSA Operator wyznacza następujące punkty kontaktowe:

• Organy państw członkowskich, Komisja Europejska, Rada Usług Cyfrowych: dsa.gov@autoklamoty.pl (język komunikacji: polski lub angielski).

• Użytkownicy Platformy: biuro@autoklamoty.pl lub formularz zgłoszeniowy w Panelu Użytkownika (język komunikacji: polski).

Punkt kontaktowy DSA umożliwia również składanie odwołań od decyzji moderacyjnych zgodnie z §13 pkt 93 Regulaminu. Termin złożenia odwołania wynosi 6 miesięcy od otrzymania decyzji.

12. Zmiany Polityki Prywatności

O wszelkich istotnych zmianach niniejszej Polityki poinformujemy Użytkowników drogą mailową na adres e-mail zarejestrowany w koncie lub poprzez komunikat na Platformie, z co najmniej 14-dniowym wyprzedzeniem. Zmiany wynikające bezpośrednio ze zmian Regulaminu wchodzą w życie jednocześnie ze zmianami Regulaminu, z zachowaniem vacatio legis określonego w Regulaminie (15 dni — §18 pkt 107 Regulaminu).

Auto Klamoty sp. z o.o. — ul. A. Szamarzewskiego 21/2, 60-514 Poznań — NIP: 7812075658

biuro@autoklamoty.pl — dsa.gov@autoklamoty.pl — www.autoklamoty.pl

Wersja 2.0 | Spójna z Regulaminem v2.0