Polityka prywatności firmy cflox GmbH dla klientów

Cflox GmbH (dalej „cflox” lub „my”) traktuje ochronę danych osobowych bardzo poważnie i przetwarza dane zgodnie z obowiązującymi przepisami o ochronie danych, w szczególności z ogólnym rozporządzeniem o ochronie danych osobowych (RODO) oraz niemiecką ustawą o ochronie danych osobowych (BDSG).

Cflox świadczy usługi płatnicze w zakresie przetwarzania umów sprzedaży między klientami końcowymi a sprzedawcami, które są zawierane za pośrednictwem platformy e-commerce Kaufland Marketplace GmbH („marketplace”). Obejmuje to w szczególności przyjmowanie płatności od klientów końcowych na zasadzie powiernictwa i przekazywanie ich sprzedawcy.

Niniejsza informacja o ochronie danych dla klientów końcowych („Informacja o ochronie danych”) odnosi się do przetwarzania danych osobowych klientów końcowych przez firmę cflox w kontekście realizacji płatności dokonywanych przez klientów na rzecz sprzedawców (niezależnie od tego, czy sprzedawcą jest podmiot zewnętrzny, czy sam Kaufland), podczas zakupu produktów na platformie marketplace. Informacje te skierowane są do klientów, którzy są osobami fizycznymi („użytkownik”).

Poniżej przedstawiamy, jakie dane osobowe zbieramy od użytkowników, w jaki sposób je przetwarzamy oraz jakie prawa przysługują użytkownikom w związku z przetwarzaniem ich danych. Wyłącznym celem niniejszej informacji o ochronie danych jest wypełnienie naszego obowiązku informacyjnego zgodnie z art. 13 i 14 RODO. Niniejsze informacje o ochronie danych nie stanowią podstawy do jakichkolwiek zobowiązań umownych dla firmy cflox.

I. Kto jest odpowiedzialny za przetwarzanie moich danych? Jak mogę skontaktować się z osobą odpowiedzialną za kwestie z tym związane?

Podmiot odpowiedzialny: cflox GmbH, Gaußstraße 190c, 22765 Hamburg, Niemcy, tel.: +49 40 22 86 97 85; adres e-mail: [email protected]

Inspektor ochrony danych: René Hoffmann, Gaußstraße 190c, 22765 Hamburg, Niemcy, tel.: +49 40 22 86 97 85; adres e-mail: [email protected]

W przypadku kontaktu z inspektorem ochrony danych należy podać nazwę firmy, której dotyczy zapytanie. Do zapytania nie należy dołączać wrażliwych informacji, takich jak np. kopia dowodu osobistego.

II. Które z moich danych osobowych są przetwarzane? Skąd pochodzą te dane?

W ramach realizacji płatności dokonanych przez użytkownika na platformie marketplace oraz w przypadku zwrotów na rzecz użytkownika możemy – jak wyjaśniono poniżej w punkcie II – gromadzić następujące dane osobowe:

imię i nazwisko;
adres (do faktury i dostawy);
adres e-mail;
numer telefonu, jeśli dotyczy (jeśli został podany podczas zakupu):
zakres oferty / cena zakupu w sklepie internetowym;
nr IBAN;
jeśli dotyczy, informacje o karcie kredytowej (numer karty, CVC, data ważności, imię i nazwisko posiadacza karty);
szczegóły transakcji (kwota, data, status płatności, identyfikatory transakcji);
adres IP;
metoda płatności, jeśli dotyczy (tylko w przypadku zwrotu pieniędzy);
historia zakupów.

Powyższe dane są gromadzone przez dostawców usług płatniczych klienta końcowego powiązanych umownie z cflox i platformą marketplace za pośrednictwem odpowiedniego interfejsu płatności lub przez sam marketplace. Dane te są przetwarzane przez dostawców usług płatniczych, którzy działają jako niezależni i odrębni administratorzy danych w rozumieniu art. 4 ust. 7 RODO (Adyen NV, Simon Carmiggeltstraat 6-50, 1011 DJ Amsterdam, Holandia; BNP Paribas S.A., Schwanthalerstraße 31, 80336 Monachium, Niemcy; PayPal, Inc., 2211 North First Street, San Jose, CA 95131; PayPal Pte. Ltd, 5 Temasek Boulevard #09-01, Suntec Tower Five, Singapur 038985; Ivy GmbH, Sandstraße 33, 80335 Monachium, Niemcy; Klarna Bank AB (publ), Sveavägen 46, 111 34 Sztokholm, Szwecja).

Dostawcy usług płatniczych przekazują nam dane, które następnie przetwarzamy, lub które są przetwarzane przez dostawców w naszym imieniu jako podmioty przetwarzające dane, zgodnie z naszymi instrukcjami oraz w zakresie niezbędnym do realizacji celów przetwarzania określonych w punkcie III. W wyjątkowych przypadkach, np. przy zwrotach (np. w przypadku przedpłaty) lub w przypadku zgłoszeń do Centralnej Jednostki Badania Transakcji Finansowych (FIU) (zobacz poniżej punkt III.), otrzymujemy dane bezpośrednio od marketplace.

III. W jakich celach i na jakiej podstawie prawnej przetwarzane są moje dane osobowe?

(1) Przetwarzanie płatności

Przetwarzamy dane użytkownika w zakresie niezbędnym do realizacji płatności dokonywanych przez niego jako klienta końcowego podczas zakupu produktów na platformie e-commerce marketplace na rzecz sprzedawców, niezależnie od tego, czy sprzedawcą jest podmiot zewnętrzny, czy sam Kaufland. Obejmuje to również przekazywanie środków do sprzedawcy oraz, w razie potrzeby, realizację zwrotów na rzecz użytkownika. Opieramy się przy tym na konieczności przetwarzania danych użytkownika w celu zabezpieczenia naszych uzasadnionych interesów związanych z prawidłowym świadczeniem usług płatniczych zgodnie z naszymi zobowiązaniami umownymi wobec sprzedawcy i marketplace oraz obowiązującymi wymogami prawnymi, w szczególności zgodnie z niemiecką ustawą o usługach płatniczych (art. 6 ust. 1 zdanie 1 lit. f) RODO).

(2) Wymogi dotyczące przeciwdziałania praniu pieniędzy i inne wymogi prawne

Przetwarzamy dane użytkownika w zakresie niezbędnym do realizacji procesów przewidzianych prawem w zakresie zwalczania prania pieniędzy, które dotyczą sprzedawców, w szczególności w kontekście obowiązków związanych z należytą starannością wobec klienta oraz weryfikacją list sankcyjnych. Opieramy się przy tym na konieczności przetwarzania danych w celu zapewnienia i udokumentowania przestrzegania naszych obowiązków prawnych wynikających z ustawy o przeciwdziałaniu praniu pieniędzy (art. 6 ust. 1 zdanie 1 lit. c) RODO).

Ponadto przetwarzamy dane użytkownika także w celu zapewnienia i udokumentowania zgodności z innymi zobowiązaniami prawnymi, w szczególności zobowiązaniami do przechowywania danych wynikającymi z prawa handlowego i podatkowego zgodnie z § 257 niemieckiego kodeksu handlowego (HGB) i § 146 niemieckiego kodeksu podatkowego (AO). Przetwarzanie danych wynika z konieczności wypełnienia naszych zobowiązań prawnych oraz na naszym uzasadnionym interesie w wypełnieniu tych zobowiązań (art. 6 ust. 1 zdanie 1 lit. c) i lit. f) RODO).

Ponadto w indywidualnych przypadkach możemy przetwarzać dane użytkownika, o ile jest to niezbędne do ochrony naszych uzasadnionych interesów w zakresie dochodzenia, wykonywania i obrony roszczeń prawnych (art. 6 ust. 1 zdanie 1 lit. f) RODO).

(3) Zwalczanie oszustw, bezpieczeństwo systemów i poprawa produktów

Przetwarzamy dane użytkownika również w celu:

wykrywania, ścigania i zapobiegania oszustwom,
zapobiegania obciążeniom zwrotnym (chargeback);
ochrony naszej infrastruktury informatycznej oraz wykrywania, ścigania i zapobiegania cyberatakom.

Przetwarzanie to opieramy na naszych uzasadnionych interesach oraz uzasadnionych interesach naszych klientów i partnerów umownych w zakresie zapobiegania i wykrywania oszustw i obciążeń zwrotnych (chargebacks) oraz zapewniania bezpieczeństwa naszych usług i infrastruktury informatycznej (art. 6 ust. 1 zdanie 1 lit. f) RODO).

IV. Komu przekazywane są moje dane osobowe?

Dane użytkownika przekazujemy innym podmiotom tylko wtedy, gdy będzie to konieczne do osiągnięcia celów przetwarzania wymienionych w punkcie III niniejszej umowy. W szczególności przekazujemy je w tym zakresie następującym odbiorcom:

marketplace,
bankowi sprzedawcy,
organizacjom kart płatniczych (np. VISA, MasterCard) i dostawcom usług płatniczych,
odpowiednim organom (w szczególności organom ścigania) w przypadku uzasadnionych wniosków o udzielenie informacji;
Centralnej Jednostce Badania Transakcji Finansowych (FIU) w przypadku konieczności zgłoszenia podejrzanych działań do FIU.

Ponadto możemy przekazywać dane użytkownika podmiotom świadczącym usługi, które działają na nasze zlecenie i zgodnie z naszymi instrukcjami (podmioty przetwarzające). Wspierają nas one m.in. w zakresie dostarczania i funkcjonowania naszej infrastruktury informatycznej oraz realizacji procesów związanych z przepisami dotyczącymi przeciwdziałania praniu pieniędzy.

V. Czy moje dane osobowe są przetwarzane poza UE i EOG?

Odbiorcy danych osobowych użytkownika wymienieni w punkcie 4 mogą częściowo znajdować się w krajach poza Unią Europejską (UE) lub Europejskim Obszarem Gospodarczym (EOG), w tzw. krajach trzecich. W przypadku gdy cflox przekazuje dane osobowe odbiorcom w krajach trzecich, które nie gwarantują poziomu ochrony danych uznanego za odpowiedni przez Komisję Europejską w kontekście decyzji stwierdzającej odpowiedni stopień ochrony zgodnie z art. 45 RODO, cflox zapewnia odpowiednie środki ochronne w celu zapewnienia, że dane są zawsze odpowiednio chronione i zabezpieczone przed ewentualnymi zagrożeniami. Odbywa się to w szczególności poprzez zawarcie standardowych klauzul umownych zatwierdzonych przez Komisję UE (zgodnie z art. 46 ust. 2 lit. c) RODO) oraz, w razie potrzeby, poprzez wdrożenie środków uzupełniających, takich jak dodatkowe techniczne, organizacyjne i umowne środki ochronne. Jeżeli w szczególnych przypadkach nie można zastosować odpowiednich środków ochronnych, przekazanie danych do państw trzecich, wobec których nie wydano decyzji stwierdzającej odpowiedni stopień ochrony, nastąpi wyłącznie na podstawie wyjątku prawnego w rozumieniu art. 49 RODO. Kopię podjętych przez nas działań oraz dodatkowe informacje dotyczące odbiorców i krajów trzecich można uzyskać na żądanie, korzystając z danych kontaktowych wymienionych w punkcie I.

VI. Jak długo będą przechowywane moje dane osobowe?

Dane użytkownika będą zasadniczo przechowywane wyłącznie przez okres niezbędny do realizacji celów wymienionych w punkcie III niniejszej umowy. Zazwyczaj dane te są przechowywane przez okres do 10 lat w celu spełnienia obowiązków przechowywania danych wynikających z przepisów prawa handlowego i podatkowego. Następnie dane te zostaną usunięte, chyba że w danym przypadku będą obowiązywać ustawowe obowiązki ich dalszego przechowywania lub dłuższe przechowywanie będzie konieczne do wypełnienia innych zobowiązań prawnych bądź ochrony uzasadnionych interesów cflox (dochodzenie, wykonywanie lub obrona roszczeń prawnych).

VII. Czy ma miejsce zautomatyzowane podejmowanie decyzji? W jaki sposób są chronione moje dane osobowe?

Decyzje nie są podejmowane wyłącznie w oparciu o zautomatyzowane przetwarzanie danych osobowych. Wprowadzamy techniczne i organizacyjne środki zgodnie z wymogami art. 32 RODO w celu ochrony danych osobowych użytkowników.

VIII. Jakie prawa przysługują mi w związku z przetwarzaniem moich danych osobowych i jak mogę z nich skorzystać?

Zgodnie z przepisami prawa użytkownik ma wobec cflox jako administratora danych osobowych prawo do:

żądania informacji o przetwarzanych danych osobowych oraz kopii tych danych (prawo do informacji);
żądania sprostowania nieprawidłowych danych oraz, z uwzględnieniem celów przetwarzania, uzupełnienia danych niekompletnych (prawo do sprostowania);
żądania usunięcia danych w uzasadnionych przypadkach (prawo do usunięcia danych, prawo do bycia zapomnianym);
żądania ograniczenia przetwarzania danych, pod warunkiem spełnienia wymogów prawnych (prawo do ograniczenia przetwarzania),

żądania (w przypadku spełnienia wymogów prawnych) otrzymania przekazanych danych, w ustrukturyzowanym, powszechnie używanym i maszynowo czytelnym formacie oraz ich przekazania innemu administratorowi lub, w miarę możliwości technicznych, zlecenia cflox ich przekazania (prawo do przenoszenia danych).

Zgodnie z obowiązującymi przepisami użytkownik ma prawo do sprzeciwu wobec przetwarzania danych z powodów związanych z jego szczególną sytuacją (prawo do sprzeciwu). Jeżeli dane osobowe są przetwarzane do celów marketingu bezpośredniego, użytkownik ma prawo wnieść w dowolnym momencie sprzeciw wobec tego przetwarzania.