Політика конфіденційності магазину Herbablast

Дата останнього оновлення: 4 серпня 2026

§ 1. Адміністратор персональних даних

Адміністратором персональних даних, що збираються через інтернет-магазин herbablast.eu, є Конрад Сєй, який здійснює одноосібну підприємницьку діяльність, NIP: 7141984367, REGON: 523848745, з місцезнаходженням за адресою ul. Władysława Łokietka 2, 21-100 Lubartów, Польща (далі: «Адміністратор»).

Контакт з питань, пов'язаних з персональними даними: hello@herbablast.eu.

§ 2. Які дані ми збираємо і з якою метою

2.1. Дані, що надаються у формі замовлення

Під час оформлення замовлення ми збираємо такі дані:

• ім'я та прізвище,
• адреса доставки,
• електронна адреса,
• номер телефону.

Мета обробки: укладення та виконання договору купівлі-продажу, зокрема здійснення доставки, розгляд скарг та зв'язок щодо замовлення.

Правова підстава: ст. 6 п. 1 літ. b GDPR (обробка, необхідна для виконання договору, стороною якого є суб'єкт даних, або для вжиття заходів на вимогу суб'єкта даних до укладення договору).

TODO[ДОПОВНИТИ: якщо форма замовлення збирає додаткові поля, крім перелічених вище (напр. коментар до замовлення, дані компанії для рахунка-фактури, поштовий індекс як окреме поле), доповніть цей список перед публікацією, щоб він повністю відповідав фактичній формі.]

2.2. Розсилка (newsletter)

Якщо ви вирішите підписатися на розсилку Магазину, ми будемо обробляти вашу електронну адресу з метою надсилання інформації про новинки, акції та пропозиції Магазину.

Мета обробки: надсилання маркетингового контенту електронним шляхом (розсилка).

Правова підстава: ст. 6 п. 1 літ. a GDPR (згода суб'єкта даних) — підписка на розсилку здійснюється виключно на засадах добровільної, явної дії (opt-in). Згоду можна відкликати в будь-який час, що не впливає на законність обробки, здійсненої до її відкликання, напр. через посилання для відписки в кожному повідомленні або звернення до Адміністратора.

2.3. Дані, що випливають з правових обов'язків (напр. рахунки/фактури)

Якщо ми виставляємо документ про продаж, ми обробляємо дані в обсязі, що вимагається податковим та бухгалтерським законодавством.

Правова підстава: ст. 6 п. 1 літ. c GDPR (правовий обов'язок, покладений на адміністратора).

2.4. Електронне листування

Якщо ви зв'язуєтеся з нами електронною поштою (hello@herbablast.eu), ми обробляємо дані, що містяться в цьому листуванні, з метою надання відповіді.

Правова підстава: ст. 6 п. 1 літ. f GDPR (законний інтерес адміністратора — обробка кореспонденції).

§ 3. Передача даних постачальникам, що здійснюють доставку (модель дропшипінгу)

Магазин Herbablast може працювати за моделлю, за якою частина або всі замовлені товари не зберігаються Адміністратором на складі, а пакуються та надсилаються безпосередньо зовнішнім постачальником/виробником відповідного товару (далі: «Постачальник»). У міру розвитку асортименту Магазину товари можуть надходити від різних, незалежних Постачальників.

У зв'язку з цим дані, необхідні для здійснення доставки — ім'я, прізвище, адреса доставки та номер телефону — передаються відповідному Постачальнику виключно з метою та в обсязі, необхідному для пакування та відправлення замовленого товару.

Постачальник обробляє передані дані виключно з метою та в обсязі, вказаному Адміністратором, тобто виключно з метою здійснення доставки замовлення, на підставі укладеного з ним договору доручення обробки персональних даних відповідно до ст. 28 GDPR. Адміністратор дбає про те, щоб кожен Постачальник, якому доручаються дані, гарантував належний рівень їх захисту.

Правова підстава передачі даних Постачальнику: ст. 6 п. 1 літ. b GDPR (обробка, необхідна для виконання договору купівлі-продажу — здійснення доставки є елементом цього договору).

§ 4. Трекери та аналітично-маркетингові інструменти

Магазин використовує такі аналітичні та маркетингові інструменти, які можуть обробляти персональні дані у вигляді ідентифікаторів пристрою, IP-адреси та даних про поведінку на сайті:

4.1. Принцип роботи на підставі згоди

Жоден з вищезазначених інструментів не завантажується в браузері користувача, доки він не надасть на це згоду. При першому відвідуванні сайту користувачеві показується банер з трьома рівнозначними варіантами:

• «Прийняти всі» — вмикає обидві категорії (Аналітику та Маркетинг),
• «Відхилити» — жоден з вищезазначених інструментів не запускається,
• «Налаштувати» — дозволяє окремо вмикати/вимикати кожну з двох категорій (Аналітика, Маркетинг).

Категорія «Необхідні» (що включає, зокрема, запам'ятовування зробленого вибору щодо згоди та роботу кошика покупок) завжди активна і не потребує згоди, оскільки є необхідною для надання послуги на запит користувача.

Правова підстава:

• для «Необхідних» файлів — ст. 6 п. 1 літ. f GDPR (законний інтерес адміністратора, тобто забезпечення базової функціональності сайту) у поєднанні зі ст. 173 Закону про телекомунікації (зберігання інформації або отримання доступу до інформації, вже збереженої в телекомунікаційному кінцевому обладнанні користувача, коли це необхідно для надання послуги),
• для категорій «Аналітика» та «Маркетинг» — ст. 6 п. 1 літ. a GDPR (згода суб'єкта даних), надана через банер cookie.

Згоду можна відкликати в будь-який момент, змінивши налаштування в банері cookie, за допомогою кнопки «Налаштування cookie», доступної в підвалі кожної сторінки Магазину.

4.2. Передача даних за межі Європейської економічної зони

Google, Meta та Microsoft — це суб'єкти, пов'язані з групами компаній зі штаб-квартирою у Сполучених Штатах. Тією мірою, якою дані, оброблювані GA4, Meta Pixel або Microsoft Clarity, можуть передаватися за межі Європейської економічної зони, це відбувається на підставі стандартних договірних положень, затверджених Європейською комісією (Standard Contractual Clauses), що є частиною умов обробки даних (Data Processing Terms / Addendum) кожного з цих постачальників.

§ 5. Суб'єкти, що обробляють дані в технічній інфраструктурі

5.1. Supabase (база даних)

Дані замовлень та каталог товарів зберігаються в базі даних, наданій Supabase, налаштованій у європейському регіоні (Франкфурт, Німеччина). Це означає, що ці дані фізично залишаються на території Європейського Союзу, що спрощує відповідність GDPR — немає потреби посилатися на стандартні договірні положення для передачі даних до третьої країни щодо самого зберігання даних.

5.2. Vercel (хостинг)

Сайт Магазину розміщено на платформі Vercel Inc., суб'єкта зі штаб-квартирою в США. Передача даних до США в обсязі, необхідному для хостингу сайту, здійснюється на підставі стандартних договірних положень, включених до угоди з Vercel (Vercel Data Processing Addendum).

5.3. Resend (транзакційні електронні листи)

TODO[ДОПОВНИТИ після впровадження: електронна адреса no-reply@herbablast.eu надсилатиме автоматичні транзакційні повідомлення (підтвердження замовлень) через сервіс Resend. Resend обробляє з цією метою електронну адресу Клієнта та зміст повідомлення. Необхідно перевірити місцезнаходження серверів Resend та — якщо це необхідно — укласти з ним договір доручення обробки даних (DPA).]

5.4. Przelewy24 (платежі)

TODO[ДОПОВНИТИ після впровадження: після підключення оператора платежів Przelewy24, дані, необхідні для здійснення платежів, передаватимуться до PayPro S.A. (оператора Przelewy24) як незалежного адміністратора даних у сфері розрахунків платежів, відповідно до його власної політики конфіденційності.]

§ 6. Строк зберігання даних

• Дані, пов'язані з виконанням замовлення (ім'я, прізвище, адреса, електронна пошта, телефон) зберігаються протягом строку, необхідного для виконання договору купівлі-продажу та розгляду можливих скарг, а потім протягом строку, що вимагається податковим та бухгалтерським законодавством (як правило, 5 років, рахуючи з кінця року, в якому настав термін сплати податку, пов'язаного з операцією) — щодо даних, що містяться в документах про продаж.
• Дані, що обробляються на підставі згоди на розсилку, зберігаються до моменту відкликання згоди (відписки від розсилки).
• Дані, що збираються аналітичними та маркетинговими інструментами, зберігаються відповідно до стандартних строків зберігання, встановлених відповідним постачальником:
  • Google Analytics 4: дані подій зберігаються протягом 2 місяців, дані користувача — протягом 14 місяців,
  • Microsoft Clarity: записи сеансів зберігаються протягом 30 днів, дані кліків і теплові карти — протягом 13 місяців,
  • Meta Pixel: дані зберігаються відповідно до внутрішньої політики зберігання Meta (як правило, до 2 років для рекламних даних, при цьому частина даних, напр. користувацькі аудиторії, може мати коротші, налаштовувані строки зберігання).

§ 7. Права суб'єкта даних

Клієнту належать такі права, що випливають з GDPR:

1. Право доступу до даних — ст. 15 GDPR,
2. Право на виправлення даних — ст. 16 GDPR,
3. Право на видалення даних («право бути забутим») — ст. 17 GDPR,
4. Право на обмеження обробки — ст. 18 GDPR,
5. Право на перенесення даних — ст. 20 GDPR,
6. Право на заперечення проти обробки, що ґрунтується на законному інтересі — ст. 21 GDPR,
7. Право на відкликання згоди у будь-який момент, без впливу на законність обробки, здійсненої до її відкликання — стосується розсилки та категорій Аналітика/Маркетинг у банері cookie,
8. Право подати скаргу до наглядового органу — у Польщі це Голова Управління захисту персональних даних (PUODO), ul. Stawki 2, 00-193 Warszawa.

Щоб скористатися вищезазначеними правами, зверніться до Адміністратора за адресою hello@herbablast.eu.

§ 8. Добровільність надання даних

Надання персональних даних у формі замовлення є добровільним, але необхідним для укладення та виконання договору купівлі-продажу — без їх надання оформлення замовлення неможливе. Надання електронної адреси з метою підписки на розсилку є повністю добровільним.

§ 9. Автоматизоване прийняття рішень та профілювання

Адміністратор не приймає щодо Клієнтів рішень, що ґрунтуються виключно на автоматизованій обробці даних, зокрема профілюванні, які б спричиняли для Клієнта правові наслідки або суттєво впливали б на нього подібним чином. Такі інструменти, як Meta Pixel, можуть використовуватися для показу персоналізованої реклами, однак це не є автоматизованим прийняттям рішень у розумінні ст. 22 GDPR.

§ 10. Зміни Політики конфіденційності

Адміністратор залишає за собою право вносити зміни до цієї Політики конфіденційності, зокрема у зв'язку зі зміною законодавства, зміною обсягу діяльності Магазину, запуском нових функцій (напр. розсилки, платежів Przelewy24) або зміною постачальників технічних послуг. Актуальна версія документа завжди доступна за адресою herbablast.eu/polityka-prywatnosci.