Polityka prywatności i RODO

Ta polityka wyjaśnia, jakie dane są potrzebne do korzystania z Eforex, zakupu plików, rozliczeń i obsługi zgłoszeń oraz jakie prawa przysługują osobom, których dane przetwarzamy. Obejmuje informacje wymagane przez art. 13 RODO, a w opisanych przypadkach także art. 14 RODO.

Wersja: 2026-10-26. Informacja z chwili złożenia zamówienia jest zachowywana wraz z jego potwierdzeniem. Newsletter, powiadomienia SMS i pomiar GA4 są obecnie wyłączone. Poniższe informacje o tych funkcjach rozróżniają zachowane dane historyczne i zasady ich ewentualnego uruchomienia.

1 Administrator i kontakt

Administratorem danych jest Grupa FOREX Adam Moczulski, ul. Sportowa 2b/102, 35-111 Rzeszów, NIP 8171547608, REGON 831308453, prowadzący sklep Eforex pod adresem https://www.eforex.pl.

W sprawach danych osobowych i wykonywania praw napisz na [email protected] lub na adres korespondencyjny: Grupa FOREX Adam Moczulski, ul. Sportowa 2b/102, 35-111 Rzeszów. Administrator nie wyznaczył inspektora ochrony danych. Nie należy kierować do nas haseł, kopii dokumentów tożsamości ani zbędnych danych z używanych arkuszy.

2 Jakie dane i skąd otrzymujemy

Odwiedziny: adres IP, czas żądania, adres odwiedzanej strony, informacje o przeglądarce i urządzeniu, identyfikator sesji oraz techniczne informacje o błędach. Służą dostarczeniu strony i jej zabezpieczeniu. Koszyk jest powiązany z sesją przeglądarki.
Zakup bez konta: imię i nazwisko lub nazwa nabywcy, adres rozliczeniowy, e-mail, wymagany w formularzu numer telefonu do kontaktu w sprawie zamówienia i powiadomień SMS, podany NIP, produkty, kwoty i metoda płatności, numer zamówienia i proformy, przyjęta wersja regulaminu oraz treść i czas oświadczenia dotyczącego dostawy cyfrowej.
Powiadomienia SMS o zakupie: funkcja jest obecnie nieaktywna; nowy sklep nie przekazuje operatorowi nowych powiadomień. Po jej uruchomieniu zakres obejmie numer odbiorcy, rolę odbiorcy (klient lub właściciel sklepu), treść wiadomości, powiązanie z zamówieniem i konkretną dostawą, daty i status przekazania do operatora. Powiadomienia będą dotyczyć przyjęcia zamówienia i wysyłki plików, także ponownej; właściciel będzie powiadamiany wyłącznie o nowym zamówieniu. Dotychczasowy szablon zawiera numer proformy lub zamówienia oraz adres e-mail wskazany do dostawy. Podanie telefonu nie stanowi zgody marketingowej. Brak SMS nie wstrzymuje dostawy plików e-mailem.
Płatność i realizacja: identyfikatory i status płatności przekazane przez PayU lub dane widoczne przy przelewie bankowym, informacja o wysyłce i jej wyniku oraz numer faktury wystawionej w odrębnym systemie. Sklep nie wymaga podawania hasła bankowego ani pełnych danych karty w swoim formularzu; dane metody płatności klient przekazuje operatorowi płatności w jego środowisku.
Kontakt i reklamacje: treść korespondencji, dane kontaktowe, informacje o problemie, uzgodnienia, niezbędne dowody zakupu i dane potrzebne do zwrotu. Nie prosimy o dane z całego dokumentu firmowego, jeśli do diagnozy wystarczy anonimowy przykład błędu.
Wybory cookies: losowy identyfikator dowodu, treść i wersja oświadczenia, wybór analityki, data, termin wygaśnięcia oraz zastąpienie poprzedniego wyboru. Rejestr nie zawiera adresu IP, e-maila, danych klienta ani numeru zamówienia. Cookies łączy przeglądarkę z jej wyborem; identyfikator nie służy analityce Google.
Wcześniejsze zgłoszenia newslettera: nowy sklep nie przyjmuje zapisów i nie prowadzi kampanii newsletterowych. Zachowujemy wcześniejsze rezygnacje oraz niezbędne dowody dokonanych wyborów; zgłoszenia testowe nie uprawniają do kampanii. Szczegóły opisują zasady komunikacji.
Dobrowolna analityka GA4: dane o przeglądarce, urządzeniu, sesji, odsłonach i przewijaniu publicznych stron po zgodzie opisanej w zasadach cookies. Do tej integracji nie przekazujemy danych formularzy zakupowych, e-maila, telefonu ani numerów dokumentów. Google Ads, remarketing i piksele newslettera nie są uruchamiane przez tę zgodę.

Dane podaje klient lub osoba działająca w jego imieniu. Informacje o płatności otrzymujemy także od banku lub PayU. Dane osoby kontaktowej w firmie możemy otrzymać od jej pracodawcy albo zleceniodawcy: chodzi o imię i nazwisko, służbowe dane kontaktowe, rolę w zamówieniu i korespondencję. W takim przypadku wykorzystujemy je do obsługi umowy z reprezentowanym podmiotem; właściwą informację przekazujemy w terminach z art. 14 RODO, najpóźniej przy pierwszym kontakcie lub ujawnieniu, a co do zasady w ciągu miesiąca, chyba że zachodzi ustawowy wyjątek.

3 Cele i podstawy przetwarzania

Zawarcie i wykonanie umowy z klientem będącym osobą fizyczną: przygotowanie zamówienia na jego żądanie, przyjęcie płatności, dostarczenie plików, pomoc i rozliczenie zwrotu — art. 6 ust. 1 lit. b RODO. Nie wymagamy zgody marketingowej ani odrębnej „zgody RODO” na czynności niezbędne do wykonania umowy.
Obsługa osób reprezentujących klienta oraz zwykłych zapytań: art. 6 ust. 1 lit. f RODO; uzasadniony interes to sprawna komunikacja i wykonanie umowy z reprezentowaną organizacją. Gdy zapytanie osoby fizycznej prowadzi do zawarcia jej własnej umowy, stosujemy art. 6 ust. 1 lit. b.
Dokumenty sprzedaży, obowiązki podatkowe i rachunkowe oraz obowiązki konsumenckie: art. 6 ust. 1 lit. c RODO w związku z właściwymi przepisami podatkowymi, rachunkowymi i ustawą o prawach konsumenta. Obejmuje to wymagane potwierdzenia umowy, obsługę ustawowych żądań i prowadzenie odpowiedniej dokumentacji.
Ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO; uzasadniony interes to ochrona praw Sprzedawcy i możliwość wykazania przebiegu umowy, płatności i zgłoszeń. Dane przechowujemy w niezbędnym zakresie, a nie na zapas dla dowolnych przyszłych spraw.
Bezpieczeństwo i utrzymanie strony: art. 6 ust. 1 lit. f RODO; uzasadniony interes to ochrona przed nadużyciami, diagnozowanie awarii i zapewnienie ciągłości usług. Działanie sesji koszyka służy również realizacji usługi zamówionej przez użytkownika. Zasady dostępu do urządzenia wynikające z Prawa komunikacji elektronicznej stosujemy niezależnie od podstawy przetwarzania danych.
Newsletter: funkcja jest obecnie wyłączona. Nie zbieramy nowych zgód i nie wykorzystujemy danych zamówień do zapisu na newsletter. Wcześniejsze zgłoszenia i rezygnacje nie stają się przez migrację nową zgodą.
Opcjonalna analityka: zgoda z art. 6 ust. 1 lit. a RODO oraz zgoda na odpowiednie technologie według art. 399 Prawa komunikacji elektronicznej. Odmowa blokuje uruchomienie pomiaru. Zgoda nie obejmuje reklamy.
Wykazanie wyborów i respektowanie rezygnacji: wymagane rozliczalnością RODO zapisy przechowujemy na podstawie art. 6 ust. 1 lit. c, a niezbędne dowody na potrzeby konkretnego ryzyka roszczeń także na podstawie lit. f. Ograniczona lista rezygnacji ma zapobiegać ponownemu kontaktowi, a nie służyć dalszemu marketingowi.

Numer telefonu służy do kontaktu dotyczącego konkretnego złożonego zamówienia, w tym wyjaśnienia braku płatności przy wyborze przelewu, oraz do powiadomień transakcyjnych SMS. Nie wykorzystujemy go na tej podstawie do reklam telefonicznych ani marketingowych SMS.

Kontakt telefoniczny w konkretnej sprawie zamówienia opieramy na art. 6 ust. 1 lit. f RODO: interesem Administratora jest wyjaśnienie problemu z realizacją lub niezaksięgowaną płatnością, w szczególności gdy kontakt e-mail jest nieskuteczny. Nie oznacza to zgody na reklamę ani automatyczne ponaglenia. Formularz wymaga numeru telefonu; osoba, która nie chce go podać albo sprzeciwia się kontaktowi telefonicznemu ze względu na swoją sytuację, może zwrócić się na [email protected] w sprawie obsługi zamówienia przez e-mail. Nie uznajemy samego oznaczenia pola jako obowiązkowego za ustawowy obowiązek podania numeru.

4 Komu dane mogą być przekazywane

Dostęp otrzymują upoważnione osoby oraz dostawcy tylko w zakresie koniecznym do wykonania zadań: hosting i utrzymanie strony, poczta, obsługa płatności, księgowość, fakturowanie, pomoc techniczna i prawna. Podmiot przetwarzający działa na udokumentowane polecenie Administratora i na odpowiedniej umowie. Bank, operator płatności lub organ publiczny może być odrębnym administratorem dla własnych ustawowych celów.

Hosting i poczta transakcyjna: home.pl sp. z o.o., ul. Zbożowa 4, 70-653 Szczecin, NIP 8522103252. Nowy sklep korzysta z usługi GANTEL, a wysyłka e-maili z serwera pocztowego gfx.home.pl. Dostawca przechowuje dane i wykonuje operacje techniczne związane z utrzymaniem, zabezpieczeniem oraz doręczaniem wiadomości. Home.pl publikuje wzorzec umowy powierzenia. Administrator wystąpił o potwierdzenie dokumentów obowiązujących dla używanych usług; samo odesłanie do wzorca nie jest potwierdzeniem zawarcia konkretnej umowy. Informacje o właściwych dokumentach i podwykonawcach można uzyskać pod adresem kontaktowym Administratora.
Płatności: PayU oraz bank obsługujący przelew; w zakresie płatności PayU otrzymuje dane niezbędne do obsługi transakcji, np. e-mail, adres IP, identyfikator zamówienia, kwotę, walutę i nazwy produktów. Informacje operatora: nota o prywatności PayU.
Historyczny operator SMS: Smeskom, którego usługodawcami są Marek Kawczyński i Tomasz Tomczyk, wspólnicy Softika s.c., ul. M. Wańkowicza 1, Płock, NIP 7743004921. Nowy sklep nie wysyła do niego danych, ponieważ ten kanał jest wyłączony. Dawne powiadomienia mogły obejmować numer telefonu oraz treść wiadomości z numerem dokumentu i adresem e-mail; nie obejmowały zakupionych plików. Przed ponownym uruchomieniem kanału zaktualizujemy informację o zakresie przetwarzania i dostawcy.
Fakturowanie i księgowość: obsługiwane wewnętrznie, bez przekazywania danych klientów zewnętrznemu biuru rachunkowemu. Dostawca używanego programu do faktur nie przetwarza danych klientów.
Wcześniejsze zgłoszenia newslettera i rezygnacje: przechowywane we własnym systemie Administratora na hostingu home.pl. Wyłączenie funkcji nie powoduje przeniesienia listy do zewnętrznej platformy kampanii ani rozpoczęcia wysyłki.
Google Analytics 4: Google Ireland Limited (Irlandia), z udziałem Google LLC (USA) i podwykonawców, wyłącznie w zakresie opcjonalnego pomiaru po zgodzie. Zasady i okresy określają cookies, warunki Google Analytics oraz warunki przetwarzania danych Google.
Obsługa DNS, pośredniczenie w ruchu HTTPS i ochrona strony: Cloudflare, Inc. (USA). Ruch do sklepu przechodzi przez sieć Cloudflare przed dotarciem do hostingu. Dostawca przetwarza adres IP, dane połączenia, nagłówki, adresy żądań oraz treść przesyłaną przez jego serwery, w tym dane formularzy; jego rola nie ogranicza się do DNS. Służy to dostarczeniu i zabezpieczeniu strony, bez marketingu Eforex. Obowiązujące warunki przetwarzania i mechanizmy transferu opisuje umowa powierzenia Cloudflare. Informacje o mechanizmach przeglądarki znajdują się w zasadach cookies.

Nie sprzedajemy danych klientów. Dane mogą zostać ujawnione właściwym organom, gdy wymagają tego przepisy. Oryginalne dane klientów, eksporty baz, prywatne pliki i hasła nie są częścią repozytorium kodu projektu.

5 Przekazywanie poza Europejski Obszar Gospodarczy

Cloudflare korzysta z globalnej infrastruktury, także poza EOG, w tym w USA. Umowa dostawcy przewiduje właściwe mechanizmy przekazywania: decyzje o odpowiednim stopniu ochrony w zakresie objętych nimi transferów oraz standardowe klauzule umowne Komisji Europejskiej dla transferów wymagających takich zabezpieczeń. Szczegóły znajdują się w sekcji 6 umowy Cloudflare wskazanej powyżej. Kopię odpowiednich zabezpieczeń można uzyskać u Administratora. Szyfrowanie połączenia nie oznacza, że dostawca proxy nie przetwarza treści żądań.

W odniesieniu do podwykonawców hostingu Administrator zwrócił się do Home.pl o potwierdzenie lokalizacji i ewentualnych transferów właściwych dla używanych usług. Polska siedziba dostawcy nie stanowi zapewnienia, że wszystkie operacje odbywają się w EOG. Szczegółową informację oraz kopię właściwych zabezpieczeń można uzyskać u Administratora. Wyłączony kanał SMS i wyłączony pomiar GA4 nie powodują nowych przekazań danych przez te integracje.

Google może przetwarzać dane poza EOG, w tym w USA. Dla podmiotów i transferów objętych EU–US Data Privacy Framework Google wskazuje ten mechanizm odpowiedniego stopnia ochrony; pozostałe transfery są objęte właściwymi zabezpieczeniami umownymi, w tym standardowymi klauzulami umownymi. Szczegóły oraz dostęp do informacji o zabezpieczeniach: zasady przekazywania danych Google i warunki przetwarzania wskazane powyżej. O informację lub kopię właściwych zabezpieczeń można również poprosić Administratora. Zgoda na cookies sama w sobie nie zastępuje podstawy przekazania danych poza EOG.

6 Jak długo przechowujemy dane

Dane potrzebne do dostawy i obsługi umowy — przez okres jej wykonywania, wsparcia oraz rozpatrywania zgłoszeń, a następnie tylko w zakresie uzasadnionym obowiązkami prawnymi lub roszczeniami.
Dokumenty podatkowe — do upływu ustawowych terminów ich przechowywania; co do zasady zobowiązania podatkowe przedawniają się po pięciu latach od końca roku, w którym upłynął termin płatności podatku. Zawieszenie lub przerwanie biegu może zmienić termin. Dokumenty rachunkowe mają terminy wynikające z właściwych przepisów. Nie oznacza to automatycznie pięciu lat dla wszystkich danych od dnia zamówienia.
Dowody umów, płatności i reklamacji — do upływu terminu przedawnienia konkretnego roszczenia; zasadniczo trzy lata dla roszczeń związanych z działalnością gospodarczą i sześć lat w terminie ogólnym, z ustawowymi wyjątkami dotyczącymi rodzaju roszczenia i biegu terminu. Jeśli toczy się spór, niezbędne dowody przechowujemy do jego prawomocnego zakończenia i rozliczenia.
Zwykła korespondencja niezwiązana z umową lub sporem — przez 12 miesięcy od zakończenia sprawy. Korespondencja stanowiąca dowód zakupu, reklamacji lub konkretnego sporu podlega właściwym okresom opisanym powyżej.
Bieżące logi aplikacji — rotacja dzienna z zachowaniem 14 ostatnich plików dziennych. Nie jest to obietnica usuwania dokładnie po 14 dniach: przy przerwach w zapisie okres kalendarzowy może być dłuższy. Odrębne dowody konkretnego incydentu pozostają przez czas wyjaśnienia sprawy oraz właściwy okres dochodzenia lub obrony roszczeń wskazany powyżej. Logi infrastruktury Home.pl są odrębnym zbiorem: dokumentacja operatora opisuje zwykły dostęp do ostatnich 14 dni i możliwość udostępnienia archiwów z 6 lub 12 miesięcy. Nie oznacza to usuwania wszystkich logów przez operatora po 14 dniach. Administrator wystąpił o pełne okresy dla używanych usług; informacje dotyczące konkretnego zbioru można uzyskać przez kontakt wskazany w punkcie 1.
Numery telefonów — do zakończenia realizacji zamówienia i kontaktu w jego sprawie; później tylko wtedy, gdy numer jest niezbędną częścią dowodu konkretnego zgłoszenia lub sporu, przez właściwy okres wskazany powyżej. Nie zachowujemy numeru wyłącznie w celu przyszłej reklamy. Historia dawnych SMS podlega tym samym kryteriom związku z obsługą lub dowodem, a wyłączenie kanału nie rozpoczyna okresu przechowywania od nowa. Informację dotyczącą danych przekazanych dawnemu operatorowi można uzyskać u Administratora; nowy sklep nie tworzy nowych historii wysyłek SMS.
Wybory cookies — 180 dni od danego wyboru, a następnie usunięcie wygasłych zapisów w cyklicznym porządkowaniu. Nie przypisujemy tych wyborów do historii zakupów.
Automatyczne kopie hostingu Home.pl — codziennie, z dostępnością do 3 dni wstecz, zgodnie z parametrami używanej usługi. Dodatkowe kopie migracyjne zawierające dane klientów — do 30 dni od odbioru migracji. Obowiązek zachowania konkretnego dowodu lub dokumentu realizujemy przez wydzielenie niezbędnych danych, a nie bezterminowe zachowanie całego eksportu. Dane usunięte operacyjnie nie mogą wracać do bieżącego użycia po odtworzeniu kopii; trzeba ponownie zastosować zapisy usunięcia i ograniczeń.
Niepotwierdzone zgłoszenia newslettera z wcześniejszych prób — nie są przyjmowane nowe zgłoszenia ani potwierdzenia. Zgłoszenia bez potwierdzenia i bez rezygnacji są usuwane w dotychczasowym cyklicznym porządkowaniu po 7 dniach. Wypisów nie kasujemy razem z nimi.
Google Analytics 4 — dane zdarzeń: 2 miesiące, dane użytkownika: 14 miesięcy z resetowaniem przy nowej aktywności. Ustawienia te nie obejmują standardowych raportów zbiorczych. Cookies analityczne mają osobny, krótszy termin wskazany w zasadach cookies.
Ograniczone dowody wcześniejszych zgód i rezygnacji — przez okres konieczny do wykazania zgodności, respektowania rezygnacji i ochrony przed konkretnymi roszczeniami. Nie służą kampaniom w wyłączonym newsletterze. Odłożenie funkcji nie rozpoczyna okresów przechowywania od nowa.

Podział panelu na ostatnie pięć lat i starsze archiwum jest organizacją widoku, a nie osobną podstawą prawną przechowywania. Starsze dane zachowujemy tylko dla określonego celu i przez uzasadniony czas; po jego upływie usuwamy je albo skutecznie anonimizujemy. Statystyki historycznej sprzedaży mogą pozostać bez danych pozwalających zidentyfikować klientów. Migracja do nowej bazy nie rozpoczyna okresów retencji od nowa ani nie odnawia zgód marketingowych.

7 Twoje prawa

W granicach określonych w RODO masz prawo do dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych przetwarzanych automatycznie na podstawie zgody lub umowy. Usunięcie może być ograniczone obowiązkiem zachowania dokumentów lub potrzebą dochodzenia i obrony roszczeń; wyjaśnimy, które dane i dlaczego pozostają.

Możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją wobec przetwarzania opartego na uzasadnionym interesie. Wobec marketingu bezpośredniego, w tym związanego z nim profilowania, sprzeciw jest bezwarunkowy — nie potrzebujesz uzasadnienia.

Zgodę możesz wycofać w każdej chwili, równie łatwo jak ją wyrazić. Wcześniejsze linki rezygnacji pozostają dostępne także przy wyłączonym newsletterze; można też napisać na adres kontaktu dotyczący prywatności. Dla opcjonalnych cookies po ich uruchomieniu wybór będzie dostępny pod „Ustawienia cookies”. Wycofanie nie wpływa na legalność przetwarzania sprzed tego momentu i nie odbiera prawa do obsługi zakupu.

Wniosek prześlij na adres z punktu 1. Nie wymagamy szczególnego formularza. Jeśli mamy uzasadnione wątpliwości co do tożsamości, poprosimy o proporcjonalne dodatkowe informacje. Odpowiemy bez zbędnej zwłoki, co do zasady w ciągu miesiąca. W przypadkach przewidzianych prawem termin może zostać wydłużony o dwa kolejne miesiące; poinformujemy w pierwszym miesiącu o przyczynie. Realizacja praw jest zasadniczo bezpłatna, z wyjątkami określonymi w RODO.

Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Aktualne dane i sposoby złożenia skargi znajdziesz w UODO. Nie musisz najpierw składać reklamacji u Sprzedawcy, aby skorzystać z tego prawa.

8 Dobrowolność danych i decyzje automatyczne

Podanie danych jest dobrowolne, lecz dane oznaczone w zamówieniu jako wymagane są potrzebne do jego obsługi; bez nich nie można go zrealizować w formularzu. NIP podajesz przy zakupie dla firmy, gdy ma znaleźć się w wymaganym dokumencie. Nie zbieramy numeru PESEL do zwykłej sprzedaży plików. Brak opcjonalnej zgody na marketing lub analitykę nie blokuje zakupów.

Nowa wersja sklepu nie podejmuje wyłącznie automatycznych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na klienta w rozumieniu art. 22 RODO. Automatyczne sprawdzenie zapłaty i skierowanie plików do wysyłki jest elementem wykonania umowy, a nie oceną zdolności kredytowej. Nie stosujemy profilowania do indywidualnego ustalania cen. Własne procesy banku lub PayU opisują ich administratorzy.

9 Bezpieczeństwo i aktualizacje polityki

Stosujemy ograniczenie dostępu do upoważnionych osób, rozdzielenie panelu od strony publicznej, ochronę połączeń produkcyjnych, kontrolę uprawnień i kopie zapasowe według przyjętej konfiguracji. Nie wykorzystujemy prawdziwych danych klientów do publicznych demonstracji. Nie przesyłaj w zgłoszeniu pełnego arkusza z danymi osobowymi, jeśli można użyć kopii z danymi przykładowymi.

Przy zmianie celów, dostawców lub funkcji aktualizujemy informację przed rozpoczęciem nowego przetwarzania. Jeśli potrzebna jest nowa zgoda, sama zmiana polityki jej nie zastępuje. Kopia informacji z chwili zakupu jest zachowywana przy zamówieniu i w wiadomości potwierdzającej.