Ten dokument wyjaśnia, jakie dane zbieramy w sklepie localhost:3000, po co, na jakiej podstawie prawnej, komu je powierzamy i jak długo je trzymamy. Opisuje też pliki cookie i przysługujące Ci prawa.
Obowiązuje od 1 października 2026.
1. Kto jest administratorem Twoich danych
Administratorem danych osobowych jest:
- MS-TECH Michał Szymański
- Dynowska 7/8, 35-505 Rzeszów, Polska
- NIP: 8133912106, REGON: 527941200
- E-mail w sprawach danych osobowych: kontakt@cebulowegranie.pl
- Telefon: +48 459 417 673
Nie wyznaczyliśmy Inspektora Ochrony Danych — przepisy nie nakładają na nas takiego obowiązku. We wszystkich sprawach dotyczących danych pisz na adres podany wyżej.
Dane przetwarzamy zgodnie z RODO — rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. — oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.
2. Jakie dane zbieramy
Zbieramy tylko to, co jest nam faktycznie potrzebne:
- Przy zakupie: adres e-mail, imię i nazwisko, adres (ulica, kod pocztowy, miejscowość), a przy zakupie na firmę — nazwa firmy i NIP. Do tego dane samego zamówienia: kupione produkty, kwota, data, sposób płatności, identyfikator płatności, numer faktury.
- Przy zakupie na prezent: adres e-mail osoby obdarowanej, podpis („od kogo"), treść życzeń i wybrany dzień wysyłki. Te dane podaje kupujący — zobacz też punkt 3a.
- Przy zakupie subskrypcji, jeżeli zaznaczysz prośbę o przypomnienie: informację o tej zgodzie i dacie wysłania przypomnienia.
- Przy zakładaniu konta: adres e-mail, hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego — nie znamy Twojego hasła i nie jesteśmy w stanie go odczytać), opcjonalnie imię, zapisane dane do faktury.
- Przy zgłoszeniu lub kontakcie: adres e-mail, treść wiadomości, powiązane zamówienie.
- Przy wystawianiu opinii: podpis (nazwa autora), ocena, treść opinii, adres e-mail powiązany z zakupem.
- Przy zapisie na newsletter: adres e-mail i data potwierdzenia zapisu.
- Przy liście życzeń i powiadomieniach o cenie: powiązanie Twojego konta z wybranymi produktami.
- Automatycznie, ze względów bezpieczeństwa: adres IP, zapisywany krótkotrwale w liczniku ograniczającym liczbę prób logowania i wysyłek formularzy (szczegóły w punkcie 5).
- Automatycznie, we własnej statystyce odwiedzin: adres odwiedzonej podstrony, domena, z której przyszedłeś, rodzaj urządzenia i — jeżeli wszedłeś z oznaczonego linku — parametry kampanii. Nie zapisujemy Twojego adresu IP. Do policzenia liczby odwiedzających używamy nieodwracalnego skrótu wyliczanego z adresu IP i przeglądarki przy użyciu klucza, który wymieniamy codziennie i nie przechowujemy poprzednich — po dobie tego skrótu nie da się z niczym powiązać, także nam. Ta statystyka nie używa plików cookie i dlatego nie wymaga Twojej zgody (szczegóły w punkcie 7).
- Automatycznie, w Google Analytics: dane o korzystaniu ze strony — wyłącznie wtedy, gdy wyrazisz zgodę na pliki cookie analityczne (punkt 7).
Nie zbieramy danych szczególnych kategorii (np. o zdrowiu, poglądach, przekonaniach) i prosimy o niepodawanie ich w treści zgłoszeń.
3. Po co i na jakiej podstawie
| Cel | Podstawa prawna (RODO) | Jak długo |
|---|---|---|
| Zawarcie i wykonanie umowy sprzedaży: realizacja zamówienia, dostarczenie kodu, obsługa płatności | art. 6 ust. 1 lit. b — niezbędność do wykonania umowy | Przez czas realizacji zamówienia, a następnie do upływu terminu przedawnienia roszczeń |
| Wystawianie i przechowywanie faktur, obowiązki podatkowe i księgowe | art. 6 ust. 1 lit. c — obowiązek prawny (ustawa o rachunkowości, Ordynacja podatkowa) | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku |
| Prowadzenie konta klienta | art. 6 ust. 1 lit. b | Do usunięcia konta przez Ciebie |
| Obsługa zgłoszeń, reklamacji i odstąpień od umowy | art. 6 ust. 1 lit. c oraz lit. b | Do upływu terminu przedawnienia roszczeń (co do zasady 6 lat) |
| Publikacja zweryfikowanych opinii o produktach | art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes (rzetelna informacja dla kupujących) oraz obowiązek weryfikacji opinii | Do czasu usunięcia opinii lub wniesienia skutecznego sprzeciwu |
| Wysłanie prezentu: jedna wiadomość do osoby obdarowanej z linkiem do strony prezentu (kod i instrukcja aktywacji) | wobec kupującego — art. 6 ust. 1 lit. b (wykonanie zamówienia); wobec osoby obdarowanej — art. 6 ust. 1 lit. f (prawnie uzasadniony interes: doręczenie prezentu zamówionego przez kupującego) | Razem z danymi zamówienia (jak w wierszu pierwszym) |
| Jednorazowe przypomnienie przed końcem kupionej subskrypcji (np. Game Pass) | art. 6 ust. 1 lit. a — Twoja zgoda zaznaczona przy zakupie | Do wysłania przypomnienia albo wycofania zgody; znacznik zgody pozostaje przy zamówieniu |
| Wysyłka newslettera | art. 6 ust. 1 lit. a — Twoja zgoda | Do wycofania zgody (wypisania się) |
| Powiadomienia o cenie i dostępności, lista życzeń | art. 6 ust. 1 lit. a — Twoja zgoda (wyrażona przez ustawienie powiadomienia) | Do usunięcia powiadomienia lub konta |
| Bezpieczeństwo serwisu: przeciwdziałanie nadużyciom, ograniczanie liczby prób logowania | art. 6 ust. 1 lit. f — prawnie uzasadniony interes | Od kilku minut do kilku godzin (czas trwania okna licznika) |
| Własna statystyka odwiedzin (bez plików cookie, bez zapisywania adresu IP) | art. 6 ust. 1 lit. f — prawnie uzasadniony interes polegający na prowadzeniu statystyki własnego sklepu w postaci pozbawionej możliwości identyfikacji | 90 dni, po czym dane są usuwane automatycznie |
| Statystyka i analityka w Google Analytics | art. 6 ust. 1 lit. a — Twoja zgoda na pliki cookie | Nie dłużej niż 14 miesięcy (ustawienie retencji w Google Analytics) |
| Ustalenie, dochodzenie lub obrona roszczeń | art. 6 ust. 1 lit. f — prawnie uzasadniony interes | Do upływu terminu przedawnienia |
3a. Jeżeli dostałeś od nas prezent
Twój adres e-mail podała osoba, która kupiła dla Ciebie kod — sami go nie zbieraliśmy. Używamy go wyłącznie do wysłania jednej wiadomości z prezentem. Nie dopisujemy go do newslettera ani żadnej innej listy i nie wysyłamy na niego nic więcej. Adres jest przechowywany razem z danymi zamówienia kupującego, tak długo jak one (punkt 3). Przysługują Ci prawa opisane w punkcie 8, w tym prawo sprzeciwu — wystarczy napisać na kontakt@cebulowegranie.pl.
4. Komu powierzamy dane
Nie sprzedajemy i nie udostępniamy Twoich danych w celach marketingowych podmiotom trzecim. Korzystamy natomiast z usług firm, bez których sklep nie mógłby działać. Każda z nich przetwarza dane wyłącznie na nasze polecenie, na podstawie umowy powierzenia:
| Odbiorca | Po co | Jakie dane |
|---|---|---|
| CashBill S.A. ul. Sobieskiego 2, 40-082 Katowice KRS 0000323297, NIP 6292410801 |
Obsługa płatności (krajowa instytucja płatnicza nadzorowana przez KNF) | Adres e-mail, kwota i identyfikator transakcji. Danych karty ani logowania do banku nigdy nie widzimy — trafiają wyłącznie do operatora |
| IFIRMA S.A. ul. Grabiszyńska 241G, 53-234 Wrocław KRS 0000281947, NIP 8981647572 |
Wystawianie faktur i korekt | Dane z faktury: imię i nazwisko lub nazwa firmy, adres, NIP, pozycje i kwota zamówienia |
| ADMIN.NET.PL Tomasz Rzepka Arkadiusz Nowara S.C. (mydevil.net) ul. Bitwy pod Monte Cassino 5/198, 33-100 Tarnów NIP 8733250257 |
Hosting sklepu, serwer bazy danych i poczta wychodząca | Wszystkie dane przechowywane w sklepie oraz treść wysyłanych wiadomości |
| Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irlandia |
Statystyka odwiedzin (Google Analytics 4) — tylko po wyrażeniu zgody | Identyfikator pliku cookie, adres IP (skracany), informacje o przeglądarce i odwiedzanych podstronach. Nie przekazujemy adresu e-mail ani danych z faktury |
Dane mogą zostać udostępnione także organom państwowym (np. urzędowi skarbowemu, policji, sądowi), jeżeli zwrócą się o to na podstawie przepisów prawa.
Dostawcy kodów do gier nie otrzymują Twoich danych — kupujemy u nich klucze, nie przekazując informacji o tym, kto je zamówił.
5. Czy dane trafiają poza Europejski Obszar Gospodarczy
Co do zasady nie — sklep, baza danych i poczta stoją na serwerach w Polsce.
Jeden wyjątek dotyczy statystyk. Jeżeli wyrazisz zgodę na pliki cookie analityczne, dane o Twoich odwiedzinach trafiają do Google Ireland Limited i mogą być przekazywane do Google LLC w Stanach Zjednoczonych. Podstawą takiego przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony danych w ramach EU–U.S. Data Privacy Framework, w którym Google LLC jest certyfikowany, a uzupełniająco — standardowe klauzule umowne zatwierdzone przez Komisję Europejską.
Jeżeli nie chcesz, żeby Twoje dane trafiały poza EOG — po prostu nie wyrażaj zgody na pliki cookie analityczne albo wycofaj ją w dowolnym momencie (punkt 7). Sklep działa wtedy dokładnie tak samo.
6. Adres IP i zabezpieczenia
Formularze wrażliwe (logowanie, składanie zamówienia, zgłoszenia, zapis na newsletter) są chronione licznikiem prób. Zapisujemy w nim Twój adres IP wraz z liczbą prób — po upływie okna czasowego (od kilku minut do kilku godzin) wpis jest kasowany. Służy to wyłącznie powstrzymaniu automatów i prób przejęcia konta.
Poza tym stosujemy m.in.: szyfrowanie połączenia (HTTPS), przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, ograniczenie dostępu do panelu administracyjnego oraz rejestrowanie operacji wykonywanych w panelu.
7. Pliki cookie i podobne technologie
Zgoda i jak ją wycofać
Przy pierwszej wizycie pokazujemy baner z wyborem: „Akceptuję" albo „Tylko niezbędne". Do czasu kliknięcia obowiązuje odmowa — mechanizm Google Consent Mode v2 startuje u nas w trybie odmowy, więc żadne pliki cookie analityczne nie są zapisywane, zanim się na nie zgodzisz.
Decyzję możesz zmienić w każdej chwili, klikając „Ustawienia cookie" w stopce strony. Możesz też usunąć i zablokować pliki cookie w ustawieniach swojej przeglądarki — pliki niezbędne są jednak konieczne do zalogowania się i złożenia zamówienia, więc ich zablokowanie uniemożliwi zakupy.
Czego dokładnie używamy
Niezbędne — bez nich sklep nie działa. Nie wymagają zgody:
| Nazwa | Do czego | Czas życia |
|---|---|---|
cg_customer | Utrzymanie zalogowania w panelu klienta | 30 dni |
cg_account | Informacja dla nagłówka, że jesteś zalogowany (żeby menu nie migało przy wczytywaniu) | 30 dni |
cg_last_order | Odnalezienie Twojego zamówienia po powrocie z bramki płatniczej | 2 godziny |
cg_admin | Sesja panelu administracyjnego (dotyczy wyłącznie obsługi sklepu) | czas trwania sesji |
cg-cart (pamięć przeglądarki) | Zawartość koszyka — zapisywana wyłącznie u Ciebie, nie trafia na nasz serwer | do wyczyszczenia danych przeglądarki |
cg-consent (pamięć przeglądarki) | Zapamiętanie Twojej decyzji o plikach cookie | do wyczyszczenia danych przeglądarki |
theme (pamięć przeglądarki) | Wybór jasnego lub ciemnego motywu strony | do wyczyszczenia danych przeglądarki |
Analityczne — zapisywane dopiero po Twojej zgodzie:
| Nazwa | Dostawca | Do czego | Czas życia |
|---|---|---|---|
_ga, _ga_* | Google Analytics 4 | Rozróżnianie użytkowników i sesji, statystyka odwiedzin | do 2 lat |
Co mierzymy, a czego nie
Mierzymy na dwa niezależne sposoby i różnią się one tym, czy wymagają Twojej zgody.
Własna statystyka odwiedzin — bez plików cookie, bez zgody. Liczymy ją na naszym serwerze: zapisujemy adres odwiedzonej podstrony, domenę, z której przyszedłeś, rodzaj urządzenia i parametry kampanii, jeżeli wszedłeś z oznaczonego linku. Nie zapisujemy adresu IP ani pełnej informacji o przeglądarce. Żeby policzyć, ilu było odwiedzających, a nie tylko ile było odsłon, wyliczamy z adresu IP i przeglądarki nieodwracalny skrót przy użyciu losowego klucza, który wymieniamy raz na dobę i nie przechowujemy poprzednich wersji. Oznacza to, że po zmianie klucza nie jesteśmy w stanie powiązać wczorajszych danych z żadną osobą ani z dzisiejszą wizytą — nawet gdybyśmy chcieli. Statystyki nie łączymy z Twoim kontem ani z zamówieniem. Dane usuwamy automatycznie po 90 dniach. Ponieważ nie zapisujemy przy tym niczego w Twojej przeglądarce, nie jest tu wymagana zgoda na pliki cookie; podstawą jest nasz uzasadniony interes, a Tobie przysługuje prawo sprzeciwu (punkt 8).
Google Analytics — wyłącznie po Twojej zgodzie. Pokazuje nam, które gry są oglądane, skąd przychodzą odwiedzający i gdzie porzucają zakupy. Nie przekazujemy do Google Twojego adresu e-mail, imienia, adresu ani numeru NIP.
Adresy stron zawierające indywidualne linki — na przykład link do statusu zamówienia, który zawiera Twój kod do gry — są skracane przed wysłaniem do Google, tak aby zawierały wyłącznie wzorzec adresu, a nigdy samego identyfikatora. Statystyka pokazuje nam więc, ile razy otwarto stronę zamówienia, ale nie — którego.
Nie korzystamy z reklamowych plików cookie, nie prowadzimy remarketingu i nie osadzamy przycisków społecznościowych śledzących odwiedzających.
8. Twoje prawa
W związku z przetwarzaniem danych przysługuje Ci prawo do:
- dostępu do danych i otrzymania ich kopii,
- sprostowania danych nieprawidłowych lub niekompletnych,
- usunięcia danych („prawo do bycia zapomnianym"),
- ograniczenia przetwarzania,
- przenoszenia danych do innego administratora,
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
- wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania sprzed wycofania.
Większość z tych rzeczy zrobisz samodzielnie: dane do faktury i zgodę marketingową zmienisz w panelu konta, konto usuniesz jednym przyciskiem, z newslettera wypiszesz się kliknięciem w link w wiadomości, a zgodę na cookie wycofasz przez „Ustawienia cookie" w stopce.
W pozostałych sprawach napisz na kontakt@cebulowegranie.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie miesiąca.
Ważne zastrzeżenie: usunięcie konta nie usuwa faktur ani danych zamówień, których przechowywanie jest naszym obowiązkiem prawnym (5 lat, punkt 3). W takim przypadku usuwamy lub anonimizujemy wszystko, co nie jest objęte tym obowiązkiem.
9. Skarga do organu nadzorczego
Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do:
Prezes Urzędu Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl
Będziemy wdzięczni, jeśli wcześniej napiszesz do nas — większość spraw da się wyjaśnić od ręki.
10. Czy podanie danych jest obowiązkowe
Podanie danych jest dobrowolne, ale:
- bez adresu e-mail nie dostarczymy kodu, bo tą drogą go wysyłamy,
- bez danych do faktury nie wystawimy faktury, a mamy taki obowiązek przy każdym zamówieniu,
- bez zgody na cookie analityczne sklep działa normalnie — to wyłącznie Twoja decyzja.
11. Automatyczne decyzje i profilowanie
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Nie profilujemy Cię i nie dostosowujemy cen indywidualnie — każdy widzi te same ceny.
12. Zmiany Polityki prywatności
Politykę możemy aktualizować — na przykład gdy dojdzie nowe narzędzie albo zmienią się przepisy. Nową wersję publikujemy na tej stronie wraz z datą obowiązywania. Jeżeli zmiana będzie istotna i będzie dotyczyć danych przetwarzanych na podstawie zgody, poprosimy o zgodę ponownie.