Polityka prywatności

1. Kto jest administratorem

Administratorem danych osobowych w związku z korzystaniem ze strony https://cornvilla.com, formularzy rejestracji i kontaktu oraz z Konta w usłudze Cornvilla WMS jest podmiot prowadzący Cornvilla („my”) — pełne dane w punkcie 8 na końcu dokumentu. Kontakt w sprawach danych osobowych: kontakt@cornvilla.com.

Wyjątek: dane odbiorców przesyłek, kontrahentów i pracowników wprowadzone do Systemu przez naszych Klientów przetwarzamy jako podmiot przetwarzający — ich administratorem jest Klient (sklep, który korzysta z Cornvilla). Zasady tego powierzenia opisuje część „Powierzenie przetwarzania” na końcu dokumentu.

2. Jakie dane przetwarzamy i po co

Cel	Dane	Podstawa prawna	Jak długo
Założenie i prowadzenie Konta, świadczenie Usługi	nazwa firmy, NIP, adres siedziby, imię i nazwisko, e-mail, adres Konta, dane do faktury, adres IP i dziennik logowań	wykonanie umowy (art. 6 ust. 1 lit. b RODO)	przez czas umowy i do 30 dni po usunięciu Konta; faktury — 5 lat od końca roku podatkowego (obowiązek prawny, lit. c)
Powiadomienia o Koncie (koniec 14-dniowego okresu próbnego, terminy płatności, przerwy techniczne, zmiany Regulaminu)	e-mail, nazwa firmy	wykonanie umowy (lit. b)	przez czas umowy
Zapamiętanie pakietu zaznaczonego w cenniku lub formularzu rejestracji wraz z ceną z tego dnia — żeby po okresie próbnym zaproponować ten sam pakiet w tej cenie (bez zobowiązań po Twojej stronie)	nazwa firmy, kod pakietu, okres rozliczeniowy, cena z dnia rejestracji	wykonanie umowy / działania przed jej zawarciem (lit. b)	do końca okresu próbnego, a potem razem z danymi Konta
Informacje handlowe e-mailem (nowości, aktualizacje, oferty) — tylko po zaznaczeniu zgody przy rejestracji	e-mail, imię i nazwisko, nazwa firmy, treść i data zgody	zgoda (art. 6 ust. 1 lit. a RODO; art. 398 Prawa komunikacji elektronicznej)	do wycofania zgody — wystarczy napisać na kontakt@cornvilla.com albo kliknąć „wypisz się” w wiadomości
Obsługa zapytań z formularza kontaktowego i e-maili	imię i nazwisko, e-mail, telefon (jeśli podany), treść wiadomości	nasz prawnie uzasadniony interes — odpowiedź na pytanie (lit. f)	do 12 miesięcy od zakończenia rozmowy
Zgłoszenia zapotrzebowania na integracje	nazwa firmy, e-mail, nazwa zgłaszanej integracji	prawnie uzasadniony interes — rozwój Usługi (lit. f)	do 24 miesięcy
Statystyki odwiedzin strony www (Google Analytics 4) — pełne tylko po zgodzie; bez zgody zbiorcze sygnały bez cookies	identyfikator przeglądarki w plikach _ga (po zgodzie), odwiedzone podstrony, źródło wejścia, przybliżona lokalizacja, typ urządzenia	zgoda (art. 6 ust. 1 lit. a RODO); sygnały bez cookies — prawnie uzasadniony interes (lit. f)	do 14 miesięcy (ustawienie w Google Analytics) albo do cofnięcia zgody
Własna statystyka odwiedzin strony (bez cookies)	dzień, podstrona, strona odsyłająca, nieodwracalny skrót dzienny (bez IP)	prawnie uzasadniony interes (lit. f)	zbiorcze liczby bezterminowo; skróty dzienne nie identyfikują osoby
Bezpieczeństwo (logi serwera, blokowanie nadużyć, ograniczenie liczby prób logowania)	adres IP, identyfikator przeglądarki, czas zdarzenia	prawnie uzasadniony interes (lit. f)	do 90 dni
Dochodzenie i obrona roszczeń	dane z umowy i korespondencji	prawnie uzasadniony interes (lit. f)	do przedawnienia roszczeń

Podanie danych jest dobrowolne, ale bez nich nie założymy Konta ani nie odpowiemy na wiadomość. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.

3. Komu przekazujemy dane

Dane przetwarzają w naszym imieniu podwykonawcy, wyłącznie w zakresie niezbędnym do świadczenia Usługi:

• hosting i infrastruktura: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francja (centrum danych w Unii Europejskiej) — serwery w Unii Europejskiej;
• wysyłka wiadomości systemowych (potwierdzenie rejestracji, powiadomienia o Koncie): Resend, Inc. (USA — standardowe klauzule umowne; wysyłka wiadomości systemowych);
• ochrona formularza rejestracji przed botami: Cloudflare, Inc. (Turnstile) — przy wysyłaniu formularza rejestracji przetwarza adres IP i podstawowe dane przeglądarki, wyłącznie w celu odróżnienia człowieka od automatu; nie używa plików cookies do reklam. Podstawa: nasz prawnie uzasadniony interes w ochronie usługi przed nadużyciami (art. 6 ust. 1 lit. f RODO); przekazanie poza EOG na podstawie standardowych klauzul umownych i EU-US Data Privacy Framework;
• sprawdzenie NIP-u przy rejestracji: NIP wpisany w formularzu wysyłamy do publicznego wykazu podatników VAT Ministerstwa Finansów (biała lista), żeby uzupełnić dane firmy i odróżnić prawdziwe firmy od fałszywych rejestracji — nie przekazujemy tam innych danych;
• statystyki odwiedzin strony (tylko po zgodzie): Google Ireland Limited (Google Analytics 4);
• księgowość i fakturowanie: biuro rachunkowe i system do faktur Usługodawcy — w zakresie danych do faktury.

Nie sprzedajemy danych ani nie udostępniamy ich reklamodawcom. Dane mogą zostać ujawnione organom publicznym, gdy wymaga tego prawo.

Przekazywanie poza EOG. Dostawca poczty może przetwarzać dane w USA. Podstawą są standardowe klauzule umowne zatwierdzone przez Komisję Europejską oraz — tam, gdzie ma zastosowanie — decyzja o adekwatności (EU-US Data Privacy Framework). Dane Konta i dane w Systemie nie opuszczają EOG.

4. Twoje prawa

Masz prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (w zakresie przetwarzanym na podstawie umowy), wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Żeby skorzystać z praw, napisz na kontakt@cornvilla.com. Odpowiadamy w ciągu miesiąca.

5. Pliki cookies i narzędzia na stronie

Strona https://cornvilla.com używa plików cookie i podobnych technologii w czterech kategoriach. Baner przy pierwszej wizycie daje równorzędny wybór: Zgadzam się, Tylko niezbędne albo Ustawienia (wybór po kategorii). Decyzję zapisujemy w przeglądarce (cv-consent, z datą i wersją) i możesz ją zmienić w każdej chwili linkiem „Ustawienia cookies” w stopce.

Kategoria	Co robi	Pliki	Podstawa
Niezbędne (zawsze włączone)	działanie strony i logowania, zabezpieczenie formularza rejestracji (Cloudflare Turnstile), zapamiętanie Twojej decyzji o cookies	cv-consent (localStorage, do usunięcia danych przeglądarki); cookies sesji Panelu i Terminala (*.cornvilla.com, sesja); cookie Turnstile (cf_clearance, do 30 dni)	niezbędne do świadczenia usługi — bez zgody
Statystyczne	Google Analytics 4: odwiedzone podstrony, czas, źródło wejścia, przybliżona lokalizacja (miasto/kraj), urządzenie i przeglądarka, fakt założenia konta próbnego (bez danych z formularza)	_ga, _ga_<id> (Google, do 2 lat)	Twoja zgoda (art. 6 ust. 1 lit. a RODO)
Marketingowe	mierzenie skuteczności reklam i dopasowanie reklam (np. Google Ads) — obecnie nie prowadzimy reklam i nie ustawiamy takich plików; decyzję zapamiętujemy na przyszłość	obecnie brak	Twoja zgoda
Preferencje	zapamiętanie wyborów ułatwiających korzystanie ze strony — obecnie nieużywane	obecnie brak	Twoja zgoda

Google Analytics 4 i tryb zgody (Consent Mode). Narzędzie dostarcza Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia). Skrypt Google wczytuje się na stronie (cornvilla.com, bez paneli klientów) od razu, ale do czasu Twojej zgody działa w trybie bez plików cookie: nie zapisuje żadnych plików ani identyfikatora użytkownika, a do Google trafiają jedynie zbiorcze sygnały o odsłonie (adres strony, czas, typ przeglądarki, skrócony adres IP używany tylko do ustalenia przybliżonej lokalizacji i niezapisywany), z których Google tworzy szacunki ruchu bez identyfikowania osób. Po zgodzie na kategorię Statystyczne Google Analytics ustawia pliki _ga i mierzy odwiedziny w pełni. Wyłączyliśmy sygnały Google (łączenie z kontami Google) i personalizację reklam; danych nie używamy do reklam. Dane w Google Analytics przechowujemy przez 14 miesięcy. Google może przetwarzać dane także w USA — na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework) i standardowych klauzul umownych.

Własna statystyka odwiedzin (bez cookies). Niezależnie od zgód liczymy odsłony stron na naszym serwerze: zapisujemy dzień, adres podstrony, nazwę strony, z której nastąpiło wejście, i nieodwracalny skrót (SHA-256) z adresu IP, przeglądarki i zmiennej dziennej soli — służy on wyłącznie do policzenia, ile różnych osób odwiedziło stronę danego dnia; adresu IP ani identyfikatora przeglądarki nie zapisujemy, a skrót następnego dnia jest inny i nie da się go powiązać z osobą. Podstawa: nasz prawnie uzasadniony interes w mierzeniu ruchu na stronie (art. 6 ust. 1 lit. f RODO); dane są zbiorcze i nie wymagają zgody.

Zgodę zmienisz albo cofniesz w każdej chwili linkiem „Ustawienia cookies” w stopce strony — po cofnięciu zgody statystycznej usuwamy pliki _ga, a Google wraca do trybu bez plików cookie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania przed jej cofnięciem.

Strona wczytuje czcionki z własnego serwera; nie łączy się z zewnętrznymi serwerami czcionek ani sieciami reklamowymi.

6. Bezpieczeństwo

Transmisja jest szyfrowana (TLS). Hasła przechowujemy wyłącznie w postaci skrótu (bcrypt). Dane każdego Klienta są odizolowane na poziomie bazy danych. Klucze do integracji i dane adresowe odbiorców są zaszyfrowane w bazie. Kopie zapasowe wykonujemy codziennie i przechowujemy w UE. Dostęp operatorów Usługodawcy do panelu zarządzania wymaga uwierzytelnienia dwuskładnikowego i jest ograniczony do wskazanych adresów.

7. Zmiany polityki

O istotnych zmianach poinformujemy e-mailem Administratorów Kont i komunikatem na stronie. Wersja obowiązująca od: 7 października 2026.

8. Dane administratora

NovaPoint Maciej Hermanowicz, ul. Lermontowa 18/25, 92-512 Łódź, NIP 728-257-50-56, przedsiębiorca wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG). E-mail w sprawach danych osobowych: kontakt@cornvilla.com.

---

Powierzenie przetwarzania danych osobowych

Niniejsza część stanowi umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO („Umowa powierzenia”), zawieraną między Klientem (administratorem) a NovaPoint Maciej Hermanowicz (podmiotem przetwarzającym, „Procesor”) przez akceptację Regulaminu.

1. Przedmiot i czas trwania

Procesor przetwarza dane osobowe w imieniu Klienta w zakresie niezbędnym do świadczenia usługi Cornvilla WMS, przez czas trwania umowy o świadczenie Usługi.

2. Rodzaj danych i kategorie osób

• Odbiorcy przesyłek (klienci sklepu Klienta): imię i nazwisko, adres, telefon, e-mail, punkt odbioru, numer zamówienia i przesyłki, informacja o płatności za pobraniem.
• Użytkownicy Konta (pracownicy i współpracownicy Klienta): imię i nazwisko, e-mail, numer pracownika, dziennik czynności w Systemie (kto, co, kiedy skompletował, spakował, przyjął).
• Kontrahenci (dostawcy): dane kontaktowe osób reprezentujących dostawców.

Nie są przetwarzane dane szczególnych kategorii (art. 9 RODO).

3. Charakter i cel przetwarzania

Przechowywanie, porządkowanie, wyświetlanie, przekazywanie przewoźnikom (generowanie etykiet) i systemom sprzedażowym Klienta (statusy, numery przesyłek), tworzenie kopii zapasowych i usuwanie — wyłącznie w celu obsługi magazynu i wysyłek Klienta.

4. Obowiązki Procesora

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Klienta, którym są ustawienia i działania w Systemie oraz Regulamin;
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
3. stosuje środki bezpieczeństwa opisane w § 12 Regulaminu i w pkt 6 niniejszej polityki;
4. pomaga Klientowi w realizacji praw osób, których dane dotyczą (dostęp, usunięcie, sprostowanie), oraz w wypełnianiu obowiązków z art. 32–36 RODO, w zakresie, w jakim ma do tego dostęp;
5. informuje Klienta o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż 48 godzin od stwierdzenia;
6. po zakończeniu Usługi usuwa dane zgodnie z § 9 Regulaminu, a na żądanie Klienta — wcześniej, po uprzednim umożliwieniu eksportu;
7. udostępnia Klientowi informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyt — po uzgodnieniu terminu, nie częściej niż raz w roku, na koszt Klienta, o ile audyt nie wykaże naruszeń.

5. Dalsze podmioty przetwarzające

Klient wyraża ogólną zgodę na korzystanie przez Procesora z podwykonawców wymienionych w pkt 3 polityki. O zamiarze dodania lub zmiany podwykonawcy Procesor informuje Administratora Konta e-mailem z 14-dniowym wyprzedzeniem; Klient może w tym czasie wnieść sprzeciw, co uprawnia go do rozwiązania umowy bez okresu wypowiedzenia.

6. Przekazywanie poza EOG

Dane powierzone nie są przekazywane poza EOG, z wyjątkiem danych niezbędnych do wysyłki wiadomości systemowych przez dostawcę poczty (pkt 3 polityki), na podstawie standardowych klauzul umownych.

7. Retencja danych odbiorców

Dane adresowe odbiorców przesyłek są usuwane z Systemu automatycznie 30 dni po przekazaniu przesyłki przewoźnikowi. Numer zamówienia, lista pozycji i numer przesyłki pozostają jako dane magazynowe bez danych identyfikujących odbiorcę.

8. Odpowiedzialność

Odpowiedzialność Procesora z tytułu Umowy powierzenia podlega ograniczeniom z § 14 Regulaminu, z wyłączeniem odpowiedzialności za szkody wyrządzone umyślnie lub z rażącego niedbalstwa.