Polityka prywatności MBKeyless.com

Wersja z 26 września 2026 r.

Aktualizacja z 26 września 2026 r. Dane sklepu i koszyków obsługuje Odoo, korespondencję Microsoft 365/Outlook, a kopie zapasowe przechowujemy na OneDrive. W firmie dostęp operacyjny ma właściciel; dostawcy usług mogą przetwarzać dane w zakresie świadczenia swoich usług.

Ten dokument wyjaśnia, jakie dane przetwarzamy przy korzystaniu z MBKeyless.com, zakupach, kontakcie oraz zapisie na powiadomienie o dostępności. Polityka jest informacją o przetwarzaniu danych — jej przeczytanie ani akceptacja regulaminu nie oznaczają zgody na marketing lub opcjonalne cookies.

1. Administrator i kontakt

Administratorem danych jest Paweł Choszczyk prowadzący działalność gospodarczą pod firmą Creman – Paweł Choszczyk, ul. Stefana Batorego 18/108, 02-591 Warszawa, Polska, NIP 9522260213.

W sprawach prywatności i realizacji praw napisz na shop@mbkeyless.com albo wyślij list na powyższy adres. Możesz także skontaktować się telefonicznie: +48 796 129 339.

2. Jakie dane i skąd otrzymujemy

• Zakup i dostawa: dane identyfikacyjne i kontaktowe, adres dostawy i rozliczeniowy, dane firmy i NIP, jeśli je podasz, zawartość zamówienia, kwoty, waluta, informacje o płatności i dostawie. Nie otrzymujemy pełnego numeru karty ani jej kodu zabezpieczającego; obsługuje je operator płatności. Otrzymujemy informacje potrzebne do powiązania i rozliczenia transakcji.
• Konto klienta: dane rejestracyjne i logowania, dane wprowadzone do konta, historia zamówień i informacje potrzebne do obsługi dostępu do konta.
• Kontakt, reklamacja lub naprawa: dane kontaktowe, treść korespondencji, dane zakupu, opis problemu oraz dobrowolnie przekazane zdjęcia i informacje o pojeździe. Nie przesyłaj dokumentów tożsamości ani danych niezwiązanych ze sprawą.
• Powiadomienie o dostępności: e-mail, wskazany model samochodu, kraj, liczba interesujących Cię klamek i odpowiedzi udzielone w formularzu, a także treść i okoliczności udzielenia lub wycofania zgody.
• Korzystanie ze strony: adres IP, dane przeglądarki i urządzenia, język, daty i czas żądań, odwiedzone adresy oraz dane sesji i cookies. Zakres zależy od używanych funkcji i ustawień prywatności.

Dane otrzymujemy przede wszystkim od Ciebie i Twojej przeglądarki. Operatorzy płatności i dostawcy usług kurierskich przekazują również informacje o statusie transakcji lub przesyłki. Jeśli inna osoba wskazała Cię jako odbiorcę zamówienia albo osobę kontaktową, dane otrzymujemy od niej w zakresie potrzebnym do dostawy lub kontaktu.

3. Cele, podstawy prawne i czas przechowywania

Poniższe podstawy odnoszą się do art. 6 ust. 1 RODO. Nie opieramy całej obsługi sklepu na zgodzie: dane potrzebne do zamówienia przetwarzamy w związku z umową, a dokumentację podatkową z powodu obowiązku prawnego.

• Zamówienie, płatność, dostawa, naprawa i ustalenia przed zakupem: wykonanie umowy lub działania na Twoje żądanie przed jej zawarciem — lit. b. Dane potrzebne do tego celu przechowujemy przez czas realizacji umowy. Po jej zakończeniu zachowujemy odpowiednią część danych na podstawie obowiązków prawnych lub uzasadnionego interesu związanego z roszczeniami, opisanego poniżej.
• Konto klienta: wykonanie umowy o prowadzenie konta — lit. b; do zakończenia korzystania z konta lub jego zamknięcia. Dane dotyczące zakupów i rozliczeń mogą pozostać przez okres wymagany dla tych odrębnych celów.
• Faktury, księgowość, podatki i dokumenty celne: obowiązek prawny — lit. c. Co do zasady dokumentację podatkową przechowuje się przez 5 lat od końca roku, w którym upłynął termin płatności podatku. Przepisy szczególne, w tym dotyczące rozliczeń VAT OSS, mogą wymagać 10 lat. Okres może ulec zmianie wskutek zawieszenia lub przerwania biegu terminu albo toczącego się postępowania.
• Reklamacje i wykonywanie praw konsumenta: wykonanie umowy oraz obowiązki prawne — lit. b i c, odpowiednio do rodzaju sprawy. Przetwarzamy dane przez czas jej obsługi, a dokumentację potrzebną do wykazania prawidłowego rozpatrzenia zachowujemy do upływu właściwego terminu dochodzenia roszczeń.
• Pozostała korespondencja i kontakt z przedstawicielem firmy lub odbiorcą przesyłki: nasz prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO, polegający na udzieleniu odpowiedzi i obsłudze relacji. Stan wdrażania okresów przechowywania opisuje poniższy plan; odrębne obowiązki i ochrona roszczeń mogą wymagać zachowania odpowiedniej dokumentacji.
• Powiadomienie o dostępności i marketing e-mailowy: Twoja zgoda — lit. a, wraz z uprzednią zgodą wymaganą przez art. 398 Prawa komunikacji elektronicznej. Używamy danych wyłącznie w zakresie wskazanym przy zapisie, do wysłania objętych zgodą informacji, zakończenia celu zapisu albo wcześniejszego wycofania zgody. Zapis na konkretny produkt nie oznacza automatycznego zapisu na ogólny newsletter.
• Dowód udzielenia i wycofania zgody, obsługa sprzeciwu: rozliczalność i obowiązki prawne — lit. c, a w zakresie obrony przed roszczeniami — lit. f. Po rezygnacji możemy zachować minimalny dowód zgody/rezygnacji i informację zapobiegającą ponownemu kontaktowi marketingowemu, przez okres potrzebny do wykazania zgodności lub obrony roszczeń. Nie uprawnia to do dalszego marketingu ani zatrzymywania całej korespondencji bez potrzeby.
• Bezpieczeństwo, utrzymanie sklepu i diagnozowanie usterek: prawnie uzasadniony interes zapewnienia ciągłości usług i przeciwdziałania nadużyciom — lit. f. Dane techniczne przechowujemy do ustania potrzeby diagnostycznej lub wyjaśnienia incydentu; dane związane z konkretnym naruszeniem mogą być dalej potrzebne do dochodzenia lub obrony roszczeń.
• Opcjonalne odtwarzacze, analityka Google Analytics i Plausible oraz zapamiętanie źródła wizyty: zgoda — art. 6 ust. 1 lit. a RODO, w zakresie przetwarzania danych osobowych. Dostawca może przetwarzać dane także jako odrębny administrator zgodnie z własną informacją. Szczegóły i wycofanie zgody opisują punkt 6 i polityka cookies.
• Ustalenie, dochodzenie lub obrona roszczeń: prawnie uzasadniony interes ochrony praw — lit. f; do przedawnienia właściwych roszczeń lub prawomocnego zakończenia postępowania i rozliczenia jego skutków. Terminy zależą od rodzaju sprawy; co do zasady wynoszą 6 lat, a dla roszczeń związanych z działalnością gospodarczą i świadczeń okresowych 3 lata, z uwzględnieniem przepisów szczególnych. Nie oznacza to przechowywania wszystkich danych przez 6 lat.

Podanie danych jest dobrowolne, lecz dane oznaczone jako wymagane są potrzebne do realizacji wybranej usługi. Bez danych dostawy nie wyślemy zamówienia, a bez adresu e-mail nie wyślemy powiadomienia. Dane wymagane do faktury wynikają z przepisów. Zgody marketingowe i opcjonalne cookies nie są warunkiem dokonania zakupu. Wycofanie zgody nie wpływa na zgodność wcześniejszego przetwarzania z prawem.

Przyjęliśmy plan okresów przechowywania: zwykłe zapytania mailowe — 24 miesiące od zamknięcia sprawy; niedokończone koszyki — 90 dni od ostatniej aktywności; powiadomienia o dostępności — do powiadomienia lub rezygnacji, maksymalnie 12 miesięcy; zwykłe backupy — rotacja 90 dni; logi integracji — 30 dni. Plan czyszczenia i rotacji nie jest jeszcze wdrożony, a wcześniej zgromadzone dane wymagają przeglądu. Nie przedstawiamy tych terminów jako działającego automatycznego usuwania. Dokumenty zakupów, podatków, reklamacji i sporów podlegają odrębnym obowiązkom opisanym powyżej. Możesz zgłosić żądanie dotyczące swoich danych na shop@mbkeyless.com.

4. Odbiorcy danych i używane usługi

Dane trafiają do podmiotów uczestniczących w obsłudze wybranej usługi, tylko w zakresie potrzebnym do jej wykonania. Są to w szczególności:

• Odoo — hosting sklepu, konta, zamówienia, formularze i wiadomości systemowe;
• BaseLinker (Base) — obsługa zamówień i wysyłek, oraz inFakt — fakturowanie i rozliczenia;
• Microsoft 365 — poczta i przechowywanie dokumentacji biznesowej;
• dostawcy infrastruktury integracji, w tym GitHub Actions — uruchamianie procesów przekazujących informacje o zamówieniach między systemami;
• Stripe, PayPal i banki — odpowiednio do wybranej płatności; część danych przetwarzają jako odrębni administratorzy, np. dla obowiązków finansowych i przeciwdziałania oszustwom;
• przewoźnicy, w tym DPD i FedEx, oraz podmioty obsługujące odprawę celną — odpowiednio do kraju i sposobu dostawy;
• Google — Google Analytics oraz opcjonalne odtwarzacze YouTube;
• podmioty wspierające obsługę techniczną, księgowość i pomoc prawną oraz uprawnione organy publiczne, jeżeli istnieje odpowiednia podstawa udostępnienia.

Operatorzy płatności, przewoźnicy i dostawcy usług mogą działać jako podmioty przetwarzające na nasze zlecenie lub jako odrębni administratorzy — zależnie od celu i podstawy przetwarzania. Informacje o ich własnych zasadach: Odoo, Stripe, PayPal, Microsoft, Google. Możesz zwrócić się do nas o informacje dotyczące odbiorców Twoich danych.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Korzystanie z międzynarodowych usług informatycznych, płatniczych i dostaw poza Europę może wiązać się z przekazywaniem danych poza EOG, w tym do Stanów Zjednoczonych. Dotyczy to również dostępu personelu i podwykonawców dostawców chmurowych. Nie deklarujemy, że wszystkie dane pozostają wyłącznie w Polsce lub EOG.

Transfer wymaga podstawy przewidzianej w rozdziale V RODO: decyzji Komisji Europejskiej o odpowiednim poziomie ochrony, w tym w odniesieniu do uprawnionych i objętych certyfikacją odbiorców w ramach EU–US Data Privacy Framework, albo odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne Komisji Europejskiej, wraz z oceną transferu i dodatkowymi zabezpieczeniami, gdy są potrzebne. Sam wybór zagranicznej usługi nie zwalnia z tych wymagań.

W pojedynczych sytuacjach związanych z wykonaniem zamówionej przez Ciebie dostawy poza EOG może mieć zastosowanie wyjątek niezbędności wykonania umowy z art. 49 RODO, w granicach przewidzianych tym przepisem. Wyjątek nie zastępuje zabezpieczeń stałego korzystania z chmury.

O informacje o podstawie konkretnego transferu i kopię zastosowanych zabezpieczeń możesz wystąpić na shop@mbkeyless.com; chronione informacje mogą wymagać odpowiedniego wyłączenia z udostępnianej kopii.

6. Cookies, analityka i treści zewnętrzne

Niezbędne cookies służą utrzymaniu sesji, koszyka, logowania, bezpieczeństwu oraz zapamiętaniu języka i wyboru prywatności. Pozostały zapis lub odczyt informacji na urządzeniu wymaga uprzedniej zgody zgodnie z Prawem komunikacji elektronicznej; dla przetwarzania danych osobowych stosuje się dodatkowo RODO.

Odtwarzacz YouTube włącza się dopiero po odrębnej zgodzie przy konkretnym filmie. Google/YouTube otrzymuje wtedy m.in. adres IP, dane przeglądarki i informacje o odtwarzaniu oraz może zapisywać cookies związane z usługą, reklamami i pomiarem. Film możesz wyłączyć i cofnąć zgodę przyciskiem pod odtwarzaczem. Osobny wybór w banerze dotyczy analityki Google Analytics, Plausible i źródła wizyty w Odoo. Zgoda na jeden cel nie jest zgodą na drugi. Odmowa nie blokuje zakupu. Analitykę uruchamiamy dopiero po zgodzie, bez zgód reklamowych Google. Czcionki są hostowane lokalnie w Odoo.

Listę cookies, cele i okresy ważności oraz sposób zmiany i wycofania zgody znajdziesz w Polityce cookies i ustawieniach cookies. Link „Ustawienia cookies” jest dostępny w stopce. Wycofanie zgody nie ma wpływu na zgodność wcześniejszego przetwarzania.

Google Analytics (Google) i Plausible hostowane przez Odoo uruchamiamy po zgodzie, aby mierzyć odwiedziny, źródła ruchu i korzystanie ze strony. Google Analytics może przetwarzać adresy odwiedzanych stron, dane urządzenia i przeglądarki, identyfikatory cookies oraz zdarzenia interakcji. Ustawiony okres przechowywania danych użytkowników i zdarzeń w GA wynosi 14 miesięcy; nie jest to okres ważności cookies ani wszystkich raportów zbiorczych. Cookies _ga i _ga_* służą pomiarowi; domyślna ważność wynosi do 2 lat i może być odnawiana podczas korzystania. Przeglądarka może ograniczyć ją wcześniej. Wycofanie zgody usuwa te cookies z naszej domeny. Nie włączamy zgód reklamowych Google. W Google Analytics wyłączyliśmy automatyczny pomiar wyszukiwania, formularzy i odsłon ze zmian historii przeglądarki. Kod Plausible nie zapisuje cookies pomiarowych; przekazuje dane zdarzenia, adres strony, źródło wizyty i szerokość ekranu do Odoo. Dostawca otrzymuje też dane połączenia, w tym adres IP. Nie przesyłamy do analityki treści formularzy ani danych identyfikujących zamówienie. Czcionki strony są hostowane lokalnie w Odoo.

7. Twoje prawa

• Możesz żądać dostępu do danych i ich kopii oraz poprawienia nieprawidłowych lub niepełnych danych.
• Możesz żądać usunięcia danych lub ograniczenia przetwarzania w sytuacjach określonych w RODO. Usunięcie nie obejmuje automatycznie dokumentacji, którą nadal musimy przechowywać z mocy prawa.
• Możesz otrzymać dane dostarczone nam na podstawie zgody lub umowy w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego i przekazać je innemu administratorowi, jeżeli przetwarzanie odbywa się w sposób zautomatyzowany. Przy spełnieniu warunków możesz żądać przekazania ich bezpośrednio.
• Możesz w każdej chwili wnieść sprzeciw wobec marketingu bezpośredniego, w tym związanego z nim profilowania. Po sprzeciwie nie przetwarzamy danych w tym celu.
• Gdy podstawą jest nasz prawnie uzasadniony interes, możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. Dalsze przetwarzanie wymaga wykazania ważnych prawnie uzasadnionych podstaw nadrzędnych wobec Twoich interesów, praw i wolności albo podstaw do ustalenia, dochodzenia lub obrony roszczeń.
• Zgodę możesz wycofać w dowolnym momencie. Rezygnację z powiadomień zgłoś na shop@mbkeyless.com lub przez dostępny w wiadomości sposób rezygnacji. Nie wymaga to uzasadnienia i nie wpływa na realizację Twojego zamówienia.
• Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych albo właściwego organu nadzorczego, w szczególności w państwie zwykłego pobytu, pracy lub zarzucanego naruszenia.

Na żądanie odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Przy złożonym żądaniu lub dużej liczbie żądań termin może zostać przedłużony o kolejne dwa miesiące; informujemy o tym i przyczynie w pierwszym miesiącu. W razie uzasadnionych wątpliwości możemy poprosić o dodatkowe informacje konieczne do potwierdzenia tożsamości, nie o dane nadmiarowe. Co do zasady realizacja praw jest bezpłatna.

8. Automatyzacja i zmiany polityki

Systemy automatycznie obsługują m.in. statusy zamówień, rozliczenia i dopasowanie waluty lub podatku do kraju dostawy. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, które wywoływałyby skutki prawne lub podobnie istotnie na Ciebie wpływały w rozumieniu art. 22 RODO. Automatyczne operacje techniczne nie oznaczają automatycznego rozstrzygania reklamacji.

Aktualizujemy politykę przy zmianie przepisów, usług lub sposobu przetwarzania. Nowa wersja ma datę na początku dokumentu. Sama zmiana tekstu nie zastępuje wymaganej nowej zgody ani nie legalizuje wykorzystania danych do niezgodnego celu. O istotnej zmianie sposobu wykorzystania Twoich danych informujemy zgodnie z przepisami.