Polityka Prywatności Cartlo

Administratorem danych osobowych w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) jest NEOMEDIA DIGITAL sp. z o.o. z siedzibą pod adresem: Nowodzielnik 13, 05-332 Siennica, Polska, NIP: 8222418862, REGON: 542751784, KRS: 0001195030 (dalej: „Operator” lub „Cartlo”).

W sprawach związanych z ochroną danych osobowych, realizacją praw przysługujących na mocy RODO oraz polityką cookies można kontaktować się z nami pod adresem e-mail: kontakt@cartlo.pl.

a) Cartlo jako Administrator Danych: Operator jest Administratorem danych osobowych zarejestrowanych Użytkowników platformy (twórców, właścicieli sklepów), osób kontaktujących się z nami oraz osób odwiedzających stronę cartlo.pl.

b) Cartlo jako Podmiot Przetwarzający (Procesor / DPA): W odniesieniu do danych Klientów Końcowych, którzy składają zamówienia w sklepach prowadzonych przez Użytkowników Cartlo, Administratorem tych danych jest dany Sprzedawca (Użytkownik). Cartlo działa w tym zakresie wyłącznie jako procesor świadczący usługi hostingowe, checkoutu i bazy danych na zlecenie i w imieniu Sprzedawcy.

Przetwarzamy następujące kategorie danych w zależności od sposobu korzystania z Usługi:

1. Dane konta Użytkownika: imię, nazwisko, adres e-mail, nazwa firmy, NIP, adres siedziby, zaszyfrowane hasło.

2. Dane rozliczeniowe i transakcyjne: historia płatności za abonament Cartlo, identyfikatory transakcji u operatora płatności (Stripe), dane do faktury VAT.

3. Dane zamówień w sklepach (przetwarzane na rzecz Sprzedawcy): imię, nazwisko, e-mail Kupującego, numer telefonu, adres do wysyłki (w przypadku produktów fizycznych), numer zamówienia, status płatności.

4. Dane techniczne i telemetryczne: adres IP, typ przeglądarki, system operacyjny, logi serwera, identyfikatory sesji, zdarzenia interfejsu (UX) oraz logi zapytań API/MCP.

Przetwarzanie danych odbywa się w oparciu o następujące podstawy prawne:

• Art. 6 ust. 1 lit. b RODO (wykonanie umowy): realizacja usług SaaS, udostępnienie sklepu, przetwarzanie koszyka i checkoutu, wydawanie plików z Digital Asset Vault, wsparcie techniczne.

• Art. 6 ust. 1 lit. c RODO (obowiązek prawny): wystawianie faktur VAT, prowadzenie dokumentacji księgowej, realizacja obowiązków wynikających z przepisów podatkowych oraz Dyrektywy Omnibus.

• Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora): dbanie o bezpieczeństwo infrastruktury, zapobieganie oszustwom finansowym i nadużyciom, diagnostyka błędów, analityka wydajności oraz obrona przed roszczeniami.

• Art. 6 ust. 1 lit. a RODO (zgoda): dobrowolna subskrypcja newslettera lub powiadomień marketingowych (jeśli dotyczy).

Dane mogą być powierzane zaufanym podmiotom trzecim wspierającym działanie platformy Cartlo, na podstawie umów powierzenia przetwarzania danych (DPA):

• Operatorzy płatności: Stripe Inc. (rozliczenia subskrypcji i bramka płatności), PayU S.A., PayPro S.A. (Przelewy24) – w zależności od konfiguracji wybranej przez Sprzedawcę.

• Hosting i infrastruktura bazodanowa: Vercel Inc., Supabase Inc., Amazon Web Services (AWS) / Cloudflare – hosting aplikacji, zabezpieczenia DNS i serwery bazodanowe.

• Poczta transakcyjna i powiadomienia: Resend Inc. – doręczanie e-maili z linkami do pobrania plików oraz potwierdzeń zakupu.

• Monitoring i diagnostyka: Functional Software, Inc. (Sentry) – rejestrowanie wyjątków i stabilności kodu.

Dane nie są odsprzedawane ani przekazywane podmiotom trzecim w celach komercyjnych niezwiązanych z działaniem platformy Cartlo.

W przypadku korzystania z serwera Cartlo MCP (dla Claude, ChatGPT, Cursor), transmisja poleceń odbywa się za pośrednictwem szyfrowanych połączeń API autoryzowanych unikalnym tokenem.

Dane sklepów, produktów czy zamówień nie są wykorzystywane przez Cartlo do trenowania ogólnych publicznych modeli sztucznej inteligencji.

Użytkownik sam decyduje, jakiego asystenta AI łączy ze swoim sklepem i odpowiada za treść przekazywanych promptów.

Dane Użytkownika konta przechowujemy przez cały okres aktywności Konta w Cartlo.

Po usunięciu konta dane mogą być przechowywane przez okres wymagany przepisami prawa podatkowo-księgowego (5 lat od końca roku podatkowego) oraz przez okres przedawnienia ewentualnych roszczeń cywilnoprawnych.

Tymczasowe tokeny pobrań w Digital Asset Vault wygasają i stają się nieaktywne zgodnie z ustalonym limitem czasowym (np. 72 godziny od zakupu).

Każdej osobie, której dane dotyczą, przysługuje prawo do:

• Dostęp do swoich danych osobowych oraz otrzymania ich kopii,

• Sprostowania (poprawienia) nieprawidłowych lub niekompletnych danych,

• Usunięcia danych („prawo do bycia zapomnianym”), o ile nie zachodzą nadrzędne obowiązki prawne nakazujące ich dalsze przechowywanie,

• Ograniczenia przetwarzania danych,

• Przenoszenia danych do innego usługodawcy w ustrukturyzowanym formacie,

• Wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,

• Wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

W celu realizacji powyższych praw wystarczy wysłać wiadomość na adres: kontakt@cartlo.pl.

Platforma Cartlo korzysta z plików cookies (ciasteczek) oraz technologii LocalStorage w celu:

a) Utrzymania aktywnej sesji logowania Użytkownika w panelu zarządzania,

b) Zapamiętania zawartości koszyka w sklepach twórców,

c) Zapewnienia bezpieczeństwa (ochrona CSRF, weryfikacja botów),

d) Zbierania zanonimizowanych statystyk odwiedzin w celu ulepszania platformy.

Użytkownik może w każdej chwili zmodyfikować ustawienia cookies w swojej przeglądarce internetowej lub usunąć zapisane pliki.

Stosujemy nowoczesne środki techniczne i organizacyjne zapobiegające nieuprawnionemu dostępowi do danych, w tym: pełne szyfrowanie transmisji protokołem TLS/SSL, izolację bazodanową, haszowanie haseł algorytmami kryptograficznymi oraz ograniczenie dostępu do tokenów API i sekretów integracji płatniczych.

Żadna transmisja danych w sieci Internet nie gwarantuje 100% bezpieczeństwa, dlatego zalecamy stosowanie silnych, unikalnych haseł oraz zachowanie ostrożności przy korzystaniu z sieci publicznych.