Polityka Prywatności

Administratorem danych osobowych przetwarzanych przez platformę Ecomfly jest:

Kontakt w sprawach ochrony danych osobowych: kontakt@ecomfly.ai

Role przy przetwarzaniu danych na Platformie:

• Ecomfly jest administratorem danych Sprzedawców (konto, rozliczenia, wsparcie) oraz danych Kupujących związanych z ich Kontem (adres email, logowanie, dostęp do zakupów) i zapisaną kartą;
• Sprzedawca jest administratorem danych swoich klientów: zamówień, adresów dostawy, danych do faktur, zgód na wiadomości, listy oczekujących, opinii i partnerów. Ecomfly przetwarza te dane w imieniu Sprzedawcy na podstawie umowy powierzenia. O tym, jak Sprzedawca przetwarza dane, informuje jego polityka prywatności.

Przetwarzanie danych osobowych przez Administratora odbywa się zgodnie z:

• Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, „RODO");
• Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781);
• Ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (t.j. Dz. U. z 2020 r. poz. 344 ze zm.).

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych przekazanych przez Użytkowników w związku z korzystaniem przez nich z usług świadczonych drogą elektroniczną przez Administratora za pośrednictwem Platformy Ecomfly.

Administrator przetwarza dane osobowe Użytkowników w następujących celach:

• Rejestracja i prowadzenie Konta Sprzedawcy – umożliwienie korzystania z funkcjonalności Platformy, zarządzania Sklepem i sprzedaży Produktów;
• Prowadzenie Konta Kupującego – logowanie, dostęp do zamówień, zakupionych treści, kursów i subskrypcji;
• Zapisana karta – płatność jednym kliknięciem u Sprzedawców korzystających z Platformy (wyłącznie za zgodą, pkt 14);
• Faktury – wystawianie i wysyłanie faktur w imieniu Sprzedawcy, który zlecił to Platformie;
• Asystent AI – generowanie treści i grafik na polecenie Sprzedawcy;
• Statystyki – zbiorcza analiza korzystania z Platformy w celu jej ulepszania;
• Obsługa transakcji – realizacja płatności za Produkty, w tym subskrypcji i rat, przy użyciu systemu Stripe Connect;
• Dostarczenie produktów – udostępnienie zakupionych treści cyfrowych wiadomością email i w panelu Kupującego oraz przekazanie Sprzedawcy danych potrzebnych do wysyłki;
• Przypomnienie o niedokończonym zakupie – wysłanie Kupującemu jednej wiadomości email z linkiem do powrotu do płatności (wyłącznie za zgodą wyrażoną przy płatności, gdy Sprzedawca włączył tę funkcję; wiadomość nie ma charakteru marketingowego);
• Komunikacja z Użytkownikami – odpowiadanie na zapytania, obsługa reklamacji, informowanie o zmianach w Platformie;
• Marketing – wysyłka informacji handlowych o nowych funkcjonalnościach Platformy (wyłącznie za zgodą Użytkownika);
• Zapewnienie bezpieczeństwa – ochrona przed nadużyciami, spam, działaniami niezgodnymi z Regulaminem;
• Wypełnienie obowiązków prawnych – prowadzenie dokumentacji księgowej i podatkowej zgodnie z przepisami prawa.

Podanie danych osobowych jest dobrowolne, jednak niezbędne do korzystania z Platformy. Brak podania wymaganych danych uniemożliwia rejestrację, sprzedaż lub zakup Produktów.

Administrator przetwarza dane osobowe na podstawie następujących przesłanek określonych w RODO:

• Art. 6 ust. 1 lit. b) RODO – przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą (rejestracja, prowadzenie Konta Sprzedawcy i Kupującego, sprzedaż, zakup Produktów, dostawa);
• Art. 6 ust. 1 lit. a) RODO – osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych (zgody marketingowe, zgoda na jednorazowe przypomnienie o niedokończonym zakupie, zgoda na zapisanie karty do szybkich płatności, opcjonalne dane profilowe);
• Art. 6 ust. 1 lit. f) RODO – przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora (bezpieczeństwo Platformy, zapobieganie nadużyciom, ochrona przed oszustwami, zbiorcze statystyki korzystania z Platformy, ustalenie i obrona roszczeń);
• Art. 6 ust. 1 lit. c) RODO – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na Administratorze (przepisy podatkowe, księgowe).

Dane osobowe Użytkowników mogą być udostępniane następującym kategoriom odbiorców:

• Stripe Inc. – operator płatności, przetwarzający dane w zakresie niezbędnym do realizacji transakcji płatniczych. Więcej informacji: stripe.com/privacy
• Supabase Inc. – dostawca usług hostingu bazy danych, w której przechowywane są dane Użytkowników. Więcej informacji: supabase.com/privacy
• Resend Inc. – dostawca usług email, wykorzystywany do wysyłki wiadomości z potwierdzeniami zakupu i linkami do pobrania Produktów. Więcej informacji: resend.com/legal/privacy-policy
• Vercel Inc. – dostawca usług hostingu aplikacji webowej Platformy. Więcej informacji: vercel.com/legal/privacy-policy
• Vercel Inc. – także zbiorcze statystyki odwiedzin Platformy (Vercel Web Analytics);
• Anthropic PBC – dostawca modeli sztucznej inteligencji; otrzymuje treść poleceń i materiałów, które Sprzedawca przekazuje asystentowi AI. Więcej informacji: anthropic.com/legal/privacy
• fal (Features & Labels, Inc.) – generowanie grafik na polecenie Sprzedawcy; otrzymuje treść polecenia i przesłane obrazy;
• Functional Software, Inc. (Sentry) – monitorowanie błędów Platformy; otrzymuje dane techniczne o błędzie, w tym adres IP i dane przeglądarki;
• Upstash, Inc. – ochrona przed nadużyciami (limity liczby prób); otrzymuje identyfikatory techniczne, takie jak adres IP lub adres email;
• Fernand – czat wsparcia w panelu Sprzedawcy; otrzymuje dane kontaktowe Sprzedawcy i treść rozmowy;
• Google Ireland Limited – logowanie kontem Google, jeżeli Użytkownik je wybierze;
• InPost sp. z o.o. – przy wysyłce do paczkomatu lub kurierem InPost, jeżeli Sprzedawca z niej korzysta: dane odbiorcy potrzebne do doręczenia;
• Narzędzia podłączone przez Sprzedawcę – jeżeli Sprzedawca je włączył: Meta Platforms Ireland Limited (pkt 13), program do faktur (np. inFakt), system do wysyłki wiadomości (np. GetResponse), adresy webhooków i asystenci AI Sprzedawcy. Administratorem danych przekazywanych do tych narzędzi jest Sprzedawca;
• Sprzedawcy – otrzymują dane Kupującego związane z zamówieniem (adres email, zakupiony Produkt, kwota, data, a przy wysyłce i fakturze także dane adresowe i dane do faktury) w celu realizacji Umowy sprzedaży;
• Partnerzy Sprzedawcy – widzą liczbę i wartość sprzedaży ze swojego polecenia, bez danych osobowych Kupujących;
• Organy państwowe – w przypadkach przewidzianych przepisami prawa (np. na żądanie sądu, prokuratury, policji, organów skarbowych).

Jeżeli Sprzedawca korzysta z funkcji dyktowania głosowego w panelu Platformy, nagranie głosu jest przekazywane bezpośrednio przez przeglądarkę internetową do usługi rozpoznawania mowy jej dostawcy (np. Google w przeglądarce Chrome) w celu przekształcenia mowy na tekst. Ecomfly nie przechowuje nagrań audio ani nie ma do nich dostępu – do Platformy trafia wyłącznie rozpoznany tekst.

Niektórzy odbiorcy danych, którym Administrator przekazuje dane osobowe, mogą mieć siedziby lub przetwarzać dane poza Europejskim Obszarem Gospodarczym (EOG). W takich przypadkach Administrator zapewnia odpowiedni poziom ochrony danych poprzez:

• Standardowe klauzule umowne zatwierdzone przez Komisję Europejską – stosowane w umowach z dostawcami mającymi siedzibę w Stanach Zjednoczonych, wymienionymi w pkt 6;
• Decyzje Komisji Europejskiej o odpowiednim poziomie ochrony – w przypadku przekazywania danych do krajów uznanych za zapewniające odpowiedni poziom ochrony, w tym do dostawców uczestniczących w programie EU–U.S. Data Privacy Framework;
• Certyfikacje i programy zgodności – dostawcy usług posiadają certyfikaty zgodności z międzynarodowymi standardami ochrony danych (np. ISO 27001, SOC 2).

Użytkownik ma prawo uzyskać kopię odpowiednich zabezpieczeń stosowanych przy przekazywaniu danych poza EOG, kontaktując się z Administratorem pod adresem: kontakt@ecomfly.ai

Administrator przechowuje dane osobowe Użytkowników przez następujące okresy:

• Dane Konta Sprzedawcy i Konta Kupującego – do czasu usunięcia Konta przez Użytkownika lub przez Administratora zgodnie z Regulaminem;
• Dane transakcji – przez okres 5 lat od zakończenia roku kalendarzowego, w którym dokonano transakcji (zgodnie z przepisami o rachunkowości i podatkowymi);
• Dane adresowe Kupujących Produkty z wysyłką (imię, nazwisko, adres dostawy, telefon) – przez okres niezbędny do realizacji zamówienia i obsługi reklamacji, nie dłużej niż 6 lat od daty zamówienia, po czym są anonimizowane;
• Dane do faktury (nazwa firmy, NIP, adres) – przez 5 lat zgodnie z przepisami o rachunkowości;
• Zgody marketingowe – do czasu cofnięcia zgody przez Użytkownika;
• Sesje zakupowe (adres email Kupującego zapisany na potrzeby przypomnienia o niedokończonym zakupie) – do wysłania przypomnienia, wycofania zgody (link „Nie przypominaj mi więcej”) lub zakończenia zakupu, a najdłużej przez 90 dni od rozpoczęcia sesji;
• Zapisana karta (identyfikatory Stripe, marka, cztery ostatnie cyfry, data ważności) – do czasu usunięcia karty przez Kupującego lub wycofania zgody; karta, która nie została aktywowana – do 30 dni; portfel bez karty i bez właściciela – do 7 dni; plik cookie rozpoznający urządzenie (karty zapisane u pojedynczego Sprzedawcy) – do 180 dni od zapisania karty;
• Lista oczekujących, zgody na wiadomości, opinie – do czasu wypisania się, wycofania zgody albo usunięcia przez Sprzedawcę; link do wystawienia opinii jest ważny 30 dni;
• Kod partnera w przeglądarce – 30 dni od wejścia z linku partnera;
• Dane dotyczące roszczeń – do czasu przedawnienia roszczeń wynikających z umowy (zgodnie z Kodeksem Cywilnym);
• Dane w celach bezpieczeństwa (logi, adresy IP) – przez okres niezbędny do zapewnienia bezpieczeństwa Platformy, nie dłużej niż 12 miesięcy.

Po upływie okresów przechowywania dane osobowe są trwale usuwane lub anonimizowane w sposób uniemożliwiający ich odtworzenie.

Użytkownikowi, którego dane są przetwarzane przez Administratora, przysługują następujące prawa określone w RODO:

W celu skorzystania z powyższych praw, Użytkownik powinien skontaktować się z Administratorem:

• Drogą elektroniczną: kontakt@ecomfly.ai
• Pisemnie: ECOMFLY sp. z o.o., ul. Aleja Solidarności 117/207, 00-140 Warszawa

Administrator udziela odpowiedzi na żądanie Użytkownika bez zbędnej zwłoki, nie później jednak niż w ciągu 30 dni od otrzymania żądania. W przypadkach skomplikowanych termin ten może zostać przedłużony o kolejne 60 dni, o czym Użytkownik zostanie poinformowany.

W celu zweryfikowania tożsamości osoby składającej żądanie, Administrator może poprosić o dodatkowe informacje umożliwiające potwierdzenie tożsamości.

Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych osobowych, w szczególności:

• Szyfrowanie połączeń – wszystkie połączenia z Platformą są szyfrowane protokołem SSL/TLS (HTTPS);
• Logowanie bez hasła – dostęp do Konta odbywa się jednorazowym kodem wysyłanym na adres email albo przez konto Google; Platforma nie przechowuje haseł;
• Supabase Row Level Security (RLS) – zabezpieczenia na poziomie bazy danych zapewniające, że Użytkownicy mają dostęp wyłącznie do swoich danych;
• Kontrola dostępu – dostęp do danych osobowych mają wyłącznie upoważnione osoby w zakresie niezbędnym do wykonywania ich obowiązków;
• Regularne aktualizacje – oprogramowanie Platformy jest regularnie aktualizowane w celu eliminacji znanych luk bezpieczeństwa;
• Monitoring i logi – Administrator monitoruje aktywność w systemie w celu wykrywania prób nieautoryzowanego dostępu;
• Backup danych – regularne tworzenie kopii zapasowych w celu zapewnienia ciągłości działania i możliwości odzyskania danych.

Administrator stosuje standardy bezpieczeństwa zgodne z najlepszymi praktykami branżowymi oraz wymogami RODO.

Platforma wykorzystuje pliki cookies (ciasteczka) – niewielkie pliki tekstowe przechowywane na urządzeniu Użytkownika. Cookies są wykorzystywane w następujących celach:

• Uwierzytelnienie – pliki cookies sesji Supabase Auth umożliwiają zalogowanym Użytkownikom korzystanie z Platformy bez konieczności ponownego logowania przy każdym odwiedzeniu strony;
• Bezpieczeństwo – zabezpieczenie przed atakami CSRF (Cross-Site Request Forgery);
• Funkcjonalność – zapamiętanie preferencji Użytkownika i wyborów w interfejsie;
• Polecenia – plik ecomfly_aff, ważny 30 dni, zapisywany po wejściu z linku partnera Sprzedawcy. Zawiera wyłącznie kod partnera i służy do przypisania zakupu do polecenia. Analogiczny plik zapamiętuje kod polecenia przy rejestracji Sprzedawcy;
• Szybka płatność – podpisany plik cookie oc_device, ważny do 180 dni, który rozpoznaje urządzenie, na którym Kupujący zapisał kartę u pojedynczego Sprzedawcy (szczegóły w pkt 14). Plik zawiera adres email Kupującego oraz identyfikatory Stripe i jest ustawiany wyłącznie po zapisaniu karty.

Operator nie używa własnych cookies reklamowych. Statystyki odwiedzin Platformy (Vercel Web Analytics) są zbierane bez plików cookie i bez identyfikowania odwiedzających. Na stronach Sklepów mogą działać narzędzia włączone przez Sprzedawcę (pkt 13), w tym ich pliki cookie, na zasadach określonych w ustawieniach zgody danego Sklepu.

Użytkownik może w każdej chwili zmienić ustawienia dotyczące cookies w swojej przeglądarce internetowej. Zablokowanie cookies może jednak ograniczyć funkcjonalność Platformy, w szczególności uniemożliwić logowanie.

Więcej informacji o zarządzaniu plikami cookies w popularnych przeglądarkach:

• Chrome: support.google.com/chrome/answer/95647
• Firefox: support.mozilla.org
• Safari: support.apple.com
• Edge: support.microsoft.com

Sprzedawcy korzystający z Platformy Ecomfly mają możliwość integracji swoich sklepów z narzędziami analitycznymi i reklamowymi, w tym Meta Pixel (Facebook Pixel).

Ecomfly nie ponosi odpowiedzialności za sposób, w jaki Sprzedawcy wykorzystują narzędzia analityczne ani za zgodność ich działań z przepisami o ochronie danych osobowych. Każdy Sprzedawca jest zobowiązany do zamieszczenia odpowiedniej informacji o Meta Pixel w polityce prywatności swojego sklepu.

Przy płatności kartą karta Kupującego jest zapisywana w portfelu Ecomfly, aby kolejne zakupy u wszystkich Sprzedawców korzystających z Platformy, w tym subskrypcje i raty, można było opłacać jednym kliknięciem. Podstawą jest zgoda zaznaczana przy płatności. Szczegółowe zasady określa § 6 Regulaminu dla Kupujących.

• Co przechowujemy – adres email, identyfikatory Stripe (klienta i metody płatności) oraz markę, cztery ostatnie cyfry i datę ważności karty, które służą wyłącznie do jej wyświetlenia. Nie przechowujemy numeru karty ani kodu CVC. Dane karty wpisuje się w formularzu Stripe i przechowuje je Stripe;
• Gdzie karta jest zapisana – w Stripe, na koncie Ecomfly. Przy płatności Ecomfly przekazuje Sprzedawcy, za pośrednictwem Stripe, kopię karty potrzebną do tej płatności; przy subskrypcji lub ratach kopia pozostaje na koncie Stripe Sprzedawcy na czas ich trwania. Sprzedawca widzi w swoim koncie Stripe dane klienta, w tym adres email oraz markę i cztery ostatnie cyfry karty;
• Aktywacja – karta staje się aktywna po potwierdzeniu adresu email: linkiem z wiadomości wysłanej po zakupie (ważnym 7 dni) albo zalogowaniem się kodem. Karta nieaktywowana w ciągu 30 dni jest usuwana;
• Jak rozpoznajemy Kupującego – wyłącznie po zalogowaniu na Konto z potwierdzonym adresem email, do którego należy portfel;
• Podstawa prawna – zgoda Kupującego (art. 6 ust. 1 lit. a RODO). Zgodę można wycofać w każdej chwili, usuwając kartę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem;
• Jak usunąć kartę – po zalogowaniu, w ustawieniach Konta, w sekcji „Zapisane płatności” (/manage/settings/payments). Karta zostaje usunięta u Stripe, a zapisane o niej dane na Platformie są kasowane. Karty, z której opłacana jest trwająca subskrypcja lub raty, nie można usunąć przed zmianą karty w tej subskrypcji albo jej zakończeniem. Z pozostałymi prawami można skorzystać zgodnie z pkt 10;
• Karty zapisane wcześniej u pojedynczego Sprzedawcy – są przechowywane w Stripe na koncie tego Sprzedawcy i działają tylko u niego; Kupującego rozpoznajemy po zalogowaniu albo po pliku cookie urządzenia (pkt 12). Usuwa się je w tym samym miejscu.

Jeżeli Sprzedawca włączył dla danej Oferty wymóg zgody na treści cyfrowe, Kupujący przed płatnością potwierdza polem wyboru, że treść cyfrowa ma zostać dostarczona natychmiast i że traci prawo odstąpienia od umowy w terminie 14 dni (art. 38 pkt 13 ustawy o prawach konsumenta).

Informacja o tym, że Kupujący zaznaczył to pole, jest zapisywana w metadanych płatności w Stripe, razem z pozostałymi danymi transakcji, i przechowywana przez ten sam okres co dane transakcji (pkt 8). Służy wyłącznie do wykazania, że zgoda została udzielona, w razie sporu lub reklamacji (art. 6 ust. 1 lit. f RODO).

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności w przypadku:

• Zmiany przepisów prawa dotyczących ochrony danych osobowych;
• Wprowadzenia nowych funkcjonalności Platformy wpływających na przetwarzanie danych;
• Zmiany dostawców usług (odbiorców danych);
• Poprawy jasności i przejrzystości dokumentu.

O wszelkich istotnych zmianach w Polityce Prywatności Użytkownicy zostaną poinformowani poprzez:

• Komunikat na stronie głównej Platformy;
• Wiadomość email na adres przypisany do Konta (w przypadku Sprzedawców).

Zaktualizowana Polityka Prywatności będzie dostępna pod adresem: https://ecomfly.shop/privacy

Data ostatniej aktualizacji: 9 października 2026 r.