Polityka prywatności

Ta Polityka prywatności wyjaśnia, kto i w jakim celu przetwarza dane osobowe osób odwiedzających serwis mamilac.pl oraz kupujących w sklepie internetowym Mamilac, komu je przekazuje, jak długo je przechowuje i jakie prawa przysługują osobom, których dane dotyczą. Zawiera informacje wymagane przez art. 13 i 14 RODO.

Administrator danych

Administratorem danych osobowych jest:

Polfa Kutno ECS sp. z o.o.
ul. Ku Cytadeli 2, 61-722 Poznań
KRS: 0000521222
NIP: 5223018264
REGON: 147397963
e-mail: info@mamilac.pl

Polfa Kutno ECS sp. z o.o. (dalej: Administrator lub my) jest operatorem strony mamilac.pl i sprzedawcą w sklepie internetowym. Producentem mleka Mamilac jest Geo-Poland sp. z o.o. z siedzibą w Kutnie; Geo-Poland przyjmuje zwroty towaru zgodnie z Regulaminem (w tym zakresie otrzymuje adres nadawcy zwrotu i numer zamówienia). W sprawach dotyczących danych osobowych możesz skontaktować się z nami pod adresem e-mail info@mamilac.pl lub listownie na adres siedziby.

Jakie dane przetwarzamy

Zakres danych zależy od tego, jak korzystasz ze strony. Dane zbieramy przede wszystkim bezpośrednio od Ciebie (np. w formularzu zamówienia), a dane techniczne – automatycznie podczas korzystania ze strony. Jeśli podajesz dane osoby trzeciej (np. adres dostawy dla innej osoby), upewnij się, że możesz je przekazać.

• Zakupy w sklepie: imię i nazwisko, adres rozliczeniowy, adres dostawy (jeśli inny), adres e-mail, numer telefonu, a w przypadku faktury na firmę – nazwa firmy i NIP; dane dotyczące zamówienia i zakupionych produktów; wybrany sposób dostawy (w tym punkt odbioru lub Paczkomat) i metoda płatności; dane niezbędne do płatności i identyfikacji transakcji (np. numer zamówienia, status i identyfikator płatności); uwagi do zamówienia oraz – jeśli zdecydujesz się je podać – imię dziecka. Nie mamy dostępu do pełnych numerów Twoich kart płatniczych ani do danych logowania do bankowości elektronicznej.
• Faktury: dane umieszczane na fakturach (m.in. imię i nazwisko lub nazwa firmy, adres, NIP, jeśli go podasz, przedmiot i wartość zakupu).
• Konto klienta: adres e-mail, imię i nazwisko, adresy, historia zamówień, hasło (przechowywane wyłącznie w postaci skrótu).
• Kontakt i reklamacje: dane przekazane w formularzu kontaktowym, w wiadomościach e-mail i w korespondencji, dane związane z reklamacjami, zwrotami i odstąpieniem od umowy (w tym numer rachunku bankowego, jeśli jest potrzebny do zwrotu płatności), ewentualne zdjęcia przesłane w sprawie reklamacji. Jeżeli piszesz do nas przez profile Mamilac na Facebooku lub Instagramie, treść wiadomości trafia do nas za pośrednictwem tych serwisów, których administratorem jest Meta.
• Newsletter: imię (jeśli je podasz), adres e-mail, informacja o udzielonej zgodzie i jej wycofaniu, dane o otwarciu wiadomości i kliknięciu w odnośniki w wiadomościach newslettera.
• Formularz dla lekarzy, pielęgniarek i położnych: imię, nazwisko, adres e-mail, numer telefonu (jeśli go podasz) oraz treść wiadomości.
• Opinie o produktach: imię lub pseudonim, adres e-mail, treść i ocena opinii.
• Dane techniczne: adres IP, logi serwera, typ przeglądarki i systemu, rodzaj urządzenia, adresy odwiedzanych podstron, data i godzina wizyty. Przy zamówieniu sklep zapisuje także informację o źródle wizyty (np. strona odsyłająca, parametry kampanii, typ urządzenia, liczba odwiedzonych podstron w sesji).
• Identyfikatory cookies i podobnych technologii – szczegóły w części „Pliki cookies i podobne technologie”.

Strona jest przeznaczona dla osób dorosłych. Imię dziecka (pole w formularzu zamówienia) podaje rodzic lub opiekun dobrowolnie.

Cele i podstawy prawne przetwarzania

1. Realizacja zamówienia i umowy sprzedaży – przyjęcie i realizacja zamówienia, płatność, przygotowanie i wysyłka przesyłki, wiadomości o statusie zamówienia. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
2. Założenie i prowadzenie konta klienta. Podstawa: art. 6 ust. 1 lit. b RODO.
3. Obsługa zapytań dotyczących zamówienia lub przygotowania do zawarcia umowy – art. 6 ust. 1 lit. b RODO; w pozostałych przypadkach (np. ogólne pytania o produkty, formularz dla lekarzy, pielęgniarek i położnych) – prawnie uzasadniony interes Administratora polegający na odpowiedzi na zapytanie i prowadzeniu kontaktu, art. 6 ust. 1 lit. f RODO.
4. Reklamacje, zwroty i odstąpienie od umowy. Podstawa: art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. c RODO (obowiązki wynikające z przepisów o prawach konsumenta).
5. Wystawianie, przechowywanie i rozliczanie dokumentów księgowych i podatkowych. Podstawa: art. 6 ust. 1 lit. c RODO w zakresie obowiązków wynikających z prawa podatkowego i rachunkowego.
6. Jednolity elektroniczny system fakturowania i przekazywanie faktur do KSeF – podstawa i zasady opisane w części „Faktury, Fakturownia i KSeF”.
7. Ustalenie, dochodzenie i obrona roszczeń, przeciwdziałanie nadużyciom i zapewnienie bezpieczeństwa serwisu (w tym ochrona formularza kontaktowego przed botami i spamem). Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
8. Prezentowanie opinii o produktach – interes Administratora i innych użytkowników w rzetelnej informacji o produktach, art. 6 ust. 1 lit. f RODO.
9. Newsletter i marketing elektroniczny. Podstawa: zgoda, art. 6 ust. 1 lit. a RODO, oraz odpowiednie przepisy Prawa komunikacji elektronicznej (zgoda na otrzymywanie informacji handlowych i marketing bezpośredni). Zgoda jest dobrowolna, możesz ją wycofać w każdej chwili – klikając odnośnik w stopce wiadomości albo pisząc na info@mamilac.pl. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. W wiadomościach newslettera stosujemy statystyki otwarć i kliknięć w odnośniki.
10. Analityka i marketing realizowane poprzez technologie wymagające zgody (pomiar ruchu, pomiar skuteczności reklam, remarketing). Podstawa: zgoda użytkownika, jeżeli jej uzyskanie jest wymagane przez przepisy, art. 6 ust. 1 lit. a RODO.

Dane niezbędne do realizacji zamówienia, wystawienia faktury lub prowadzenia księgowości nie są przetwarzane na podstawie zgody. Samo korzystanie ze strony nie oznacza wyrażenia zgody na przetwarzanie danych w celach analitycznych ani marketingowych.

Podanie danych oznaczonych w formularzu zamówienia jako wymagane jest dobrowolne, ale niezbędne do złożenia i realizacji zamówienia. Podanie pozostałych danych (np. imienia dziecka, uwag do zamówienia) jest całkowicie dobrowolne. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

Faktury, Fakturownia i KSeF

Fakturownia

Do każdego zamówienia w sklepie wystawiana jest faktura. Sklep korzysta z oficjalnej integracji Fakturownia z WooCommerce: każde zamówienie jest automatycznie przekazywane do systemu Fakturownia, w którym wystawiana i przechowywana jest faktura.

Do Fakturowni przekazywane są dane klienta i zamówienia, które mogą obejmować: imię i nazwisko, adres, adres dostawy, adres e-mail, numer telefonu, dane zamówienia i transakcji (w tym zamówione produkty, ceny, metodę płatności i dostawy), a także inne dane potrzebne do wystawienia faktury (np. nazwę firmy i NIP, jeśli je podasz) oraz dodatkowe informacje zawarte w zamówieniu, np. uwagi. Dane te są zapisywane w systemie fakturowym.

Fakturownia przetwarza te dane jako podmiot przetwarzający na zlecenie Administratora na podstawie umowy powierzenia (art. 28 RODO), w zakresie usług fakturowania, obsługi dokumentów księgowych oraz integracji z KSeF:

Fakturownia sp. z o.o.
ul. Juliana Smulikowskiego 6/8, 00-389 Warszawa
KRS: 0000572426, NIP: 5213704420, REGON: 362333847

Krajowy System e-Faktur (KSeF)

Wystawiamy fakturę do każdego zamówienia ze sklepu – także wtedy, gdy kupujesz jako osoba fizyczna nieprowadząca działalności gospodarczej. Faktury są przekazywane przez Fakturownię do Krajowego Systemu e-Faktur (KSeF). W przypadku faktur dla osób fizycznych (B2C) korzystanie z KSeF jest po stronie sprzedawcy dobrowolne – nie wynika z obowiązku ustawowego. Robimy to, aby ujednolicić proces fakturowania, zautomatyzować księgowość i uniknąć papierowego obiegu dokumentów.

• Podstawa prawna: w zakresie dobrowolnego przesyłania faktur B2C do KSeF – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na prowadzeniu jednolitego elektronicznego systemu fakturowania, automatyzacji procesów księgowych i prawidłowej organizacji dokumentacji sprzedażowej); w zakresie, w jakim przekazanie danych do KSeF lub ich przechowywanie wynika bezpośrednio z obowiązujących przepisów (np. w przypadku faktur dla przedsiębiorców) – art. 6 ust. 1 lit. c RODO.
• Odbiorca: Szef Krajowej Administracji Skarbowej, ul. Świętokrzyska 12, 00-916 Warszawa. Szef KAS jest odrębnym administratorem danych znajdujących się w KSeF.
• Zakres: wszystkie faktury wystawiane w sklepie są przekazywane do KSeF, jest to element procesu ich wystawiania i księgowania.
• Okres przechowywania w KSeF: faktury znajdujące się w KSeF są przechowywane przez 10 lat od końca roku, w którym zostały wystawione.
• Przekazanie faktury Tobie: sam zapis faktury w KSeF nie jest jej przekazaniem kupującemu. Na Twoją prośbę przesyłamy fakturę w formie elektronicznej na adres e-mail podany w zamówieniu.

Odbiorcy danych

Dane przekazujemy tylko tym podmiotom, którym jest to potrzebne do realizacji opisanych celów, w niezbędnym zakresie.

• Fulfilment (kompletacja i wysyłka paczek) – Completio sp. z o.o., ul. Nałęczowska 33/22, 02-922 Warszawa. Completio przetwarza dane na zlecenie Administratora (art. 28 RODO). Przekazujemy mu dane niezbędne do skompletowania i przygotowania przesyłki, a także do jej nadania: imię i nazwisko, adres, adres e-mail, numer telefonu oraz zamówione produkty (bez cen i kwot zapłaconych). Completio wzywa kuriera i przekazuje przewoźnikowi dane potrzebne do doręczenia paczki.
• Przewoźnicy:
  • DPD Polska sp. z o.o., ul. Mineralna 5, 02-274 Warszawa, KRS: 0000028368, NIP: 5260204110 – dostawa kurierem DPD oraz do punktów DPD Pickup;
  • InPost sp. z o.o., ul. Pana Tadeusza 4, 30-727 Kraków, KRS: 0000543759, NIP: 6793108059 – dostawa do Paczkomatów i kurierem InPost.

  Przewoźnik otrzymuje (od nas lub od Completio) dane potrzebne do doręczenia przesyłki, w szczególności imię i nazwisko, adres lub punkt odbioru, adres e-mail i numer telefonu. W zakresie realizacji usługi przewozowej przewoźnicy działają jako odrębni administratorzy, zgodnie z własnymi politykami prywatności; wybrany przez Ciebie punkt odbioru może być prowadzony przez dodatkowy podmiot (np. partnera sieci DPD Pickup).

• Operatorzy płatności – dane niezbędne do obsługi płatności przekazywane są wybranemu przez Ciebie operatorowi, który w zakresie realizacji usług płatniczych działa jako odrębny administrator danych:
  • PayPro S.A. (Przelewy24), ul. Pastelowa 8, 60-198 Poznań, KRS: 0000347935, NIP: 7792369887;
  • PayU S.A., ul. Grunwaldzka 186, 60-166 Poznań, KRS: 0000274399, NIP: 7792308495, REGON: 300523444.

  W przypadku przelewu tradycyjnego dane transakcji przetwarza bank prowadzący rachunek Administratora.

• Fakturownia sp. z o.o. – system fakturowy (podmiot przetwarzający), a także Szef KAS – KSeF (odrębny administrator), jak opisano wyżej.
• Dostawcy usług technologicznych działający jako podmioty przetwarzające:
  • ADMIN.NET.PL S.C. (MyDevil), ul. Bitwy pod Monte Cassino 5/198, 33-100 Tarnów, NIP: 8733250257, REGON: 122662465, VAT UE: PL8733250257 – hosting serwera, na którym działa strona;
  • home.pl sp. z o.o., ul. Zbożowa 4, 70-653 Szczecin, KRS: 0001212751, NIP: 8522103252, REGON: 811158242 – usługi poczty elektronicznej (serwer SMTP, z którego wysyłamy wiadomości dotyczące zamówień, konta i newslettera);
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia – Google Tag Manager, Google reCAPTCHA (ochrona formularza kontaktowego przed botami i spamem) i, zależnie od konfiguracji i udzielonych zgód, narzędzia analityczne i reklamowe Google; film z YouTube po kliknięciu.
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia – Meta Pixel i powiązane narzędzia pomiaru oraz reklam, zależnie od konfiguracji i udzielonych zgód.
• Doradcy i usługodawcy: podmioty świadczące na rzecz Administratora usługi księgowe, prawne i audytowe – w zakresie niezbędnym do ich świadczenia.
• Organy publiczne i inne podmioty uprawnione – gdy obowiązek przekazania danych wynika z przepisów prawa.

Pliki cookies i podobne technologie

Serwis wykorzystuje pliki cookies i podobne technologie niezbędne do jego prawidłowego działania, a także – w zależności od konfiguracji i udzielonych zgód – technologie analityczne i marketingowe dostawców zewnętrznych, w szczególności Google i Meta. W przypadkach, w których obowiązujące przepisy wymagają zgody użytkownika na zapis lub dostęp do informacji na jego urządzeniu, podstawą użycia takich technologii jest uprzednio udzielona zgoda. Samo dalsze korzystanie ze strony nie oznacza zgody.

W serwisie mogą być wykorzystywane:

• Technologie niezbędne (nie wymagają zgody): pliki zapewniające działanie koszyka, zamówienia, logowania do konta i bezpieczeństwa formularzy (m.in. pliki sesji WooCommerce i WordPress, zabezpieczenie formularza Google reCAPTCHA) oraz zapamiętanie informacji o komunikacie dotyczącym cookies.
• Technologie analityczne i funkcjonalne: informacje o źródle wizyty i przebiegu sesji zapisywane przez WooCommerce (m.in. pliki o nazwach zaczynających się od „sbjs_”), pliki systemu obsługi korespondencji i formularzy Groundhogg (m.in. informacja o stronie, z której przyszedłeś, i odwiedzonych stronach) oraz licznik wyświetleń okien informacyjnych (Holler Box). Technologie te działają na podstawie zgody, o ile przepisy jej wymagają.
• Technologie marketingowe i narzędzia dostawców zewnętrznych: Google Tag Manager (menedżer tagów, za pomocą którego mogą być uruchamiane narzędzia analityczne i reklamowe Google), Meta Pixel (identyfikator „_fbp” i zdarzenia dotyczące korzystania ze sklepu, takie jak wyświetlenie produktu, dodanie do koszyka i zakup, przekazywane do Meta zarówno z przeglądarki, jak i z serwera sklepu) oraz inne narzędzia, które w przyszłości zostaną uruchomione – o czym poinformujemy w tej Polityce.
• Filmy YouTube osadzone na stronach ładują się dopiero po kliknięciu i korzystają z trybu rozszerzonej prywatności (youtube-nocookie.com).

Okres działania plików cookies i identyfikatorów zależy od konkretnego pliku – od końca sesji przeglądarki do kilku miesięcy – i jest określony przez jego dostawcę. Pliki cookies możesz usunąć lub zablokować w ustawieniach przeglądarki; zablokowanie plików niezbędnych może uniemożliwić złożenie zamówienia lub zalogowanie się. Zgodę na technologie analityczne i marketingowe możesz wycofać w każdej chwili, usuwając pliki cookies z przeglądarki oraz kontaktując się z nami; wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Przekazywanie danych poza Europejski Obszar Gospodarczy

W związku z korzystaniem z niektórych dostawców technologicznych, w szczególności usług Google, Meta lub podwykonawców dostawców IT, dane mogą w określonych przypadkach być dostępne lub przetwarzane poza Europejskim Obszarem Gospodarczym (EOG), w tym w Stanach Zjednoczonych.

Takie przekazanie odbywa się wyłącznie na podstawie mechanizmów dopuszczonych przez RODO, np. decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony, EU-US Data Privacy Framework – jeśli ma zastosowanie do konkretnego odbiorcy – lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Informacje o zastosowanych zabezpieczeniach i ich kopię możesz uzyskać, kontaktując się z nami.

Jak długo przechowujemy dane

Nie stosujemy jednego terminu dla wszystkich danych – okres zależy od celu przetwarzania:

• Dane konta – przez okres prowadzenia konta, a po jego usunięciu – w zakresie i przez czas potrzebny do ustalenia, dochodzenia lub obrony roszczeń oraz wykonania obowiązków prawnych.
• Dane zamówień – przez czas realizacji umowy, a następnie przez okres wymagany przepisami lub do upływu terminu przedawnienia roszczeń (co do zasady 6 lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej 3 lata, liczone do końca roku kalendarzowego).
• Dokumentacja podatkowa i księgowa (w tym faktury) – zgodnie z właściwymi przepisami, co do zasady 5 lat licząc od końca roku kalendarzowego, którego dotyczy dokument.
• Faktury w KSeF – 10 lat od końca roku, w którym zostały wystawione (zgodnie z ustawowym okresem przechowywania w KSeF).
• Newsletter – do czasu cofnięcia zgody lub zakończenia usługi, z możliwością dalszego przechowywania informacji o udzielonej zgodzie i jej wycofaniu dla celów dowodowych (do czasu przedawnienia ewentualnych roszczeń).
• Formularze kontaktowe i korespondencja – przez okres potrzebny do obsługi sprawy, a następnie, w razie potrzeby, do czasu przedawnienia roszczeń.
• Opinie o produktach – do czasu usunięcia opinii lub zgłoszenia sprzeciwu.
• Logi bezpieczeństwa i dane techniczne – przez okres uzasadniony potrzebami bezpieczeństwa serwisu.
• Cookies i podobne identyfikatory – zgodnie z okresem działania konkretnego pliku lub identyfikatora i Twoimi ustawieniami.

Twoje prawa

Masz prawo do:

• dostępu do swoich danych,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych – gdy przetwarzamy je na podstawie zgody lub umowy i w sposób zautomatyzowany,
• sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) – z przyczyn związanych z Twoją szczególną sytuacją,
• cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem,
• wniesienia skargi do organu nadzorczego.

Aby skorzystać z praw, napisz na adres info@mamilac.pl. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Skargę możesz złożyć do:

Prezes Urzędu Ochrony Danych Osobowych
Urząd Ochrony Danych Osobowych
ul. Stanisława Moniuszki 1A, 00-014 Warszawa

Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, m.in. szyfrowane połączenie HTTPS, ograniczenie dostępu do danych do osób i podmiotów, które ich potrzebują, oraz umowy powierzenia z podmiotami przetwarzającymi.

Dokument obowiązuje od 31 sierpnia 2026 r.