Polityka Prywatności Platformy B2B

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych Kontrahentów oraz ich przedstawicieli korzystających z platformy b2b.dachluczaj.pl, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie Platformy B2B.

1. Administrator danych

Administratorem danych osobowych jest Dach Łuczaj s.c. MR AB ŁUCZAJ, z siedzibą: Łyski, ul. Warszawska 26, 16-070 Choroszcz.

• NIP: 542-290-64-70
• REGON: 052248030
• e-mail: biuro@dachluczaj.pl
• telefon: +48 85 719 21 27

Ze względu na charakter i skalę działalności Administrator nie ma obowiązku powołania Inspektora Ochrony Danych. Wszelkie zapytania dotyczące przetwarzania danych osobowych można kierować na podany wyżej adres e-mail lub numer telefonu.

2. Czyje dane przetwarzamy

Platforma przeznaczona jest dla podmiotów prowadzących działalność gospodarczą (Kontrahentów). Przetwarzane dane osobowe dotyczą w szczególności:

• osób fizycznych prowadzących jednoosobową działalność gospodarczą będących Kontrahentami;
• wspólników spółek cywilnych i osobowych;
• reprezentantów, pełnomocników, pracowników oraz osób wyznaczonych do kontaktu i obsługi Konta po stronie Kontrahenta;
• kierowników budów, dekarzy lub innych osób upoważnionych do odbioru dostaw towarów na budowie.

3. Zakres danych, cele i podstawy prawne

3.1. Dane Konta i profilu B2B

Zakres: nazwa firmy, NIP, numer telefonu, hash hasła (nigdy hasło w postaci jawnej), status aktywacji, Limit kredytowy i saldo jego wykorzystania, saldo punktów lojalnościowych, przypisane rabaty i ceny indywidualne.

Cel i podstawa prawna: zawarcie i wykonanie umowy o świadczenie usług drogą elektroniczną (utrzymanie Konta na Platformie) oraz umów sprzedaży zawieranych za jej pośrednictwem - art. 6 ust. 1 lit. b RODO; weryfikacja wiarygodności płatniczej i zarządzanie limitem kupieckim - prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO); realizacja obowiązków prawnych związanych z wystawianiem faktur i prowadzeniem dokumentacji rachunkowo-podatkowej (art. 6 ust. 1 lit. c RODO).

Okres przechowywania: przez czas trwania współpracy handlowej, a po jej zakończeniu przez okres przedawnienia roszczeń związanych z prowadzeniem działalności gospodarczej (co do zasady 3 lata - art. 118 Kodeksu cywilnego) oraz przez okres wymagany przepisami podatkowymi i o rachunkowości dla dokumentów rozliczeniowych (co do zasady 5 lat, licząc od końca roku, w którym powstał obowiązek podatkowy).

3.2. Płatności online i spłata salda (Stripe)

Zakres: identyfikator transakcji / sesji płatności Stripe Checkout, kwota i waluta, status autoryzacji płatności, wybrana metoda płatności (karta / BLIK), powiązany numer Zamówienia lub identyfikator rozliczenia salda.

Zasady przetwarzania: płatności elektroniczne realizowane są za pośrednictwem zewnętrznego certyfikowanego operatora płatności Stripe Payments Europe, Ltd.Dane wrażliwe kart płatniczych (pełne numery kart, daty ważności, kody CVV/CVC) są wprowadzane i przetwarzane bezpośrednio w zabezpieczonej infrastrukturze Stripe zgodnie ze standardami PCI-DSS. Administrator nie ma dostępu do pełnych danych kart płatniczych Kontrahenta i ich nie zapisuje na swoich serwerach.

Cel i podstawa prawna: obsługa transakcji płatniczych za Zamówienia lub spłata zadłużenia w ramach wykonywania umowy sprzedaży (art. 6 ust. 1 lit. b RODO) oraz rozliczalność księgowa (art. 6 ust. 1 lit. c RODO).

3.3. Zamówienia, załączniki techniczne i organizacja dostaw

Zakres: specyfikacja zamawianych wyrobów (modele, długości, kąty obróbek z konfiguratora, powłoki, kolory RAL, ilości), notatki wykonawcze do pozycji, pliki załączników technicznych (szkice, rzuty, zdjęcia), preferowana data dostawy, adres miejsca dostawy na budowie, wymogi dojazdu HDS oraz dane kontaktowe odbiorcy na budowie (imię, numer telefonu).

Cel i podstawa prawna: realizacja procesu produkcyjnego i dostawy towarów - art. 6 ust. 1 lit. b RODO; w zakresie danych osób trzecich wskazanych na budowie - prawnie uzasadniony interes Administratora i Kontrahenta polegający na prawidłowym i terminowym doręczeniu oraz rozładunku materiałów (art. 6 ust. 1 lit. f RODO).

Okres przechowywania: przez okres realizacji Zamówienia, okres trwania gwarancji na dostarczone wyroby oraz okres przedawnienia roszczeń z umowy sprzedaży.

3.4. Klucze dostępu (Passkeys / WebAuthn)

Jeżeli Kontrahent aktywuje logowanie kluczem dostępu, na serwerze zapisywany jest wyłącznie publiczny klucz kryptograficzny oraz identyfikator urządzenia. Prywatny klucz uwierzytelniający oraz dane biometryczne (odcisk palca, skan twarzy) pozostają wyłącznie w bezpiecznym module sprzętowym urządzenia Kontrahenta i nie są nigdy przesyłane do serwerów Administratora.

Podstawa prawna i okres przechowywania: wykonanie umowy (art. 6 ust. 1 lit. b RODO), przez czas posiadania Konta lub do momentu usunięcia danego klucza w panelu użytkownika.

3.5. Sesja logowania, PWA i pamięć lokalna (cookie b2b_session)

Po zalogowaniu Platforma zapisuje w przeglądarce Kontrahenta plik cookie b2b_session, zawierający kryptograficznie podpisany (HMAC) token sesyjny: identyfikator Kontrahenta, nazwę firmy, NIP oraz stan limitu i punktów. Jest to plik techniczny, ściśle niezbędny do świadczenia usługi dostępowej, o którą Kontrahent zawnioskował logując się do serwisu. Zgodnie z art. 399 ust. 3 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej, zapis ten nie wymaga odrębnej zgody. Cookie wygasa po 24 godzinach (przeglądarki desktop) lub po 30 dniach (urządzenia mobilne) i jest kasowany przy wylogowaniu.

W trybie PWA (Progressive Web App) Platforma wykorzystuje lokalną pamięć przeglądarki (IndexedDB, Cache API) do buforowania cennika, kalkulatorów i konfiguratora w celu umożliwienia stabilnej pracy przy braku zasięgu sieci na terenie budowy. Dane te są przechowywane lokalnie na urządzeniu.

3.6. Generator ofert PDF dla inwestora i Karty Gwarancyjne

Dane inwestorów (klientów Kontrahenta) wprowadzane w generatorze wycen PDF oraz formularzu kart gwarancyjnych (np. imię, nazwisko, adres inwestycji) przetwarzane są przez Administratora wyłącznie na polecenie Kontrahenta w celu wygenerowania i przechowania dokumentu PDF. W tym zakresie Kontrahent jest administratorem danych swoich klientów, a Administrator działa jako podmiot przetwarzający (procesor) w rozumieniu art. 28 RODO.

3.7. Program lojalnościowy Klub Dach Łuczaj

Zakres: historia naliczeń punktów za zlecenia, aktualne saldo punktowe, złożone zamówienia nagród z katalogu. Podstawa prawna: wykonanie umowy uczestnictwa w programie lojalnościowym (art. 6 ust. 1 lit. b RODO).

3.8. Analityka własna (Umami Analytics)

Platforma korzysta z własnej instalacji systemu analitycznego Umami Analytics(self-hosted na serwerze Administratora). Narzędzie to nie stosuje cookies śledzących ani identyfikatorów marketingowych podmiotów trzecich. Zbiera zanonimizowane informacje techniczne (odwiedzone widoki, typ przeglądarki i rozdzielczość) w celu optymalizacji wydajności Platformy - art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).

4. Usługi zewnętrzne i geolokalizacja GPS

OpenStreetMap Nominatim: funkcja uzupełniania adresu dostawy na podstawie GPS urządzenia jest w pełni opcjonalna. Współrzędne są przesyłane bezpośrednio z przeglądarki do serwisu Nominatim OpenStreetMap, a uzyskany adres tekstowy trafia do formularza Zamówienia. Administrator nie gromadzi historii koordynatów GPS Kontrahenta.

Stripe Payments Europe: płatności online kartą lub BLIK oraz spłata salda obsługiwane są przez Stripe Payments Europe, Ltd. z zachowaniem najwyższych rygorów bezpieczeństwa bankowego.

5. Odbiorcy danych

Dane Kontrahentów mogą być przekazywane następującym kategoriom podmiotów:

• dostawcom usług hostingowych, infrastruktury chmurowej i utrzymania systemów IT;
• operatorowi płatności elektronicznych (Stripe Payments Europe, Ltd.);
• podmiotom świadczącym obsługę księgową, audytorską i prawną na rzecz Administratora;
• kierowcom transportu fabrycznego oraz zewnętrznym przewoźnikom logistycznym (wyłącznie w zakresie niezbędnym do wykonania dostawy pod wskazany adres).

Administrator nie przekazuje danych osobowych do państw trzecich poza Europejski Obszar Gospodarczy (EOG), chyba że zapewniony jest odpowiedni stopień ochrony zgodnie z rozdziałem V RODO (np. standardowe klauzule umowne UE).

6. Prawa osób, których dane dotyczą

Każdej osobie, której dane dotyczą, przysługuje prawo do:

• dostępu do treści swoich danych oraz otrzymania ich kopii (art. 15 RODO);
• sprostowania nieprawidłowych danych (art. 16 RODO);
• usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO) - w przypadkach nienaruszających obowiązków prawnych i archiwizacyjnych Administratora;
• ograniczenia przetwarzania danych (art. 18 RODO);
• przenoszenia danych w formacie ustrukturyzowanym (art. 20 RODO);
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO);
• wniesienia skargi do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

7. Zautomatyzowane podejmowanie decyzji

Kalkulacja cen hurtowych oraz weryfikacja salda Limitu kredytowego odbywają się w sposób zautomatyzowany na podstawie algorytmów handlowych przypisanych do Konta. Nie stanowi to zautomatyzowanego podejmowania decyzji wywołującego skutki prawne w rozumieniu art. 22 RODO, a warunki handlowe podlegają bieżącemu nadzorowi i indywidualnym uzgodnieniom z opiekunem handlowym.

8. Środki bezpieczeństwa

Administrator stosuje zaawansowane środki techniczne i organizacyjne chroniące dane przed nieuprawnionym dostępem: szyfrowanie transmisji protokołem SSL/TLS, kryptograficzne haszowanie haseł, zabezpieczenia sesji HMAC, izolację repozytoriów załączników i wygenerowanych dokumentów PDF oraz stały monitoring dostępności infrastruktury.

9. Zmiany Polityki Prywatności

Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki Prywatności w przypadku rozbudowy funkcjonalności Platformy lub zmian stanu prawnego. Nowa wersja dokumentu publikowana jest każdorazowo pod tym adresem z podaniem daty aktualizacji.