§ 1. Administrator danych osobowych

1. Administratorem danych osobowych Użytkowników portalu www.drewno.pl (dalej: „Portal") jest Drewno.pl sp. z o.o. z siedzibą w Polsce (dalej: „Administrator").
2. Kontakt z Administratorem w sprawie ochrony danych osobowych jest możliwy drogą elektroniczną pod adresem e-mail dostępnym na stronie drewno.pl/kontakt.
3. Administrator dokłada najwyższej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności zapewnia, że zbierane dane są przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty.

§ 2. Podstawy prawne przetwarzania

1. Dane osobowe przetwarzane są na podstawie:
   • Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO),
   • ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych,
   • ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną,
   • ustawy z dnia 16 lipca 2004 r. — Prawo telekomunikacyjne.
2. Administrator przetwarza dane osobowe wyłącznie w zakresie, w jakim jest to niezbędne do realizacji celów przetwarzania, na następujących podstawach prawnych:
   • art. 6 ust. 1 lit. a RODO — zgoda osoby, której dane dotyczą (np. zapis na Newsletter, zgoda marketingowa),
   • art. 6 ust. 1 lit. b RODO — wykonanie umowy lub podjęcie działań przed jej zawarciem (np. rejestracja konta, realizacja zamówienia w Sklepie, publikacja ogłoszenia),
   • art. 6 ust. 1 lit. c RODO — wypełnienie obowiązku prawnego ciążącego na Administratorze (np. prowadzenie dokumentacji rachunkowej),
   • art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora (np. marketing bezpośredni, zapewnienie bezpieczeństwa Portalu, dochodzenie roszczeń).

§ 3. Zakres zbieranych danych

Dane osobowe Użytkowników zbierane są w następujących sytuacjach:

3.1. Rejestracja konta — osoba prywatna

• imię,
• adres e-mail,
• hasło (przechowywane w postaci zaszyfrowanej).

3.2. Rejestracja konta — firma

• NIP,
• nazwa firmy,
• numer kierunkowy i numer telefonu,
• miejscowość i kod pocztowy,
• imię i nazwisko osoby kontaktowej,
• adres e-mail,
• adres strony internetowej (opcjonalnie),
• województwo (opcjonalnie — Katalog Firm),
• opis działalności (opcjonalnie — Katalog Firm),
• hasło (przechowywane w postaci zaszyfrowanej).

3.3. Newsletter

• adres e-mail.

3.4. Giełda Ogłoszeń i Katalog Firm

• dane kontaktowe podane dobrowolnie przez Użytkownika w treści ogłoszenia lub profilu firmy (np. telefon, adres, adres e-mail kontaktowy).

3.5. Sklep internetowy

• dane niezbędne do realizacji zamówienia: imię i nazwisko, adres dostawy, dane do faktury, adres e-mail, numer telefonu.

3.6. Formularz kontaktowy i zgłoszenia

• imię i nazwisko lub nazwa Użytkownika, adres e-mail, treść wiadomości.

3.7. Dane zbierane automatycznie

• adres IP,
• typ przeglądarki i urządzenia,
• system operacyjny,
• data i godzina wizyty,
• przeglądane strony i czas przebywania na nich,
• adres URL strony odsyłającej (referer).

3.8. Płatności i subskrypcje

• identyfikator klienta w systemie płatności Stripe (stripe_customer_id),
• typ i ostatnie cztery cyfry karty płatniczej (dane referencyjne przechowywane przez Stripe; Administrator nie przechowuje pełnych numerów kart),
• historia transakcji (zakup subskrypcji, zakup tokenów, daty i kwoty płatności),
• status subskrypcji (aktywna, anulowana, wygasła) oraz daty okresów rozliczeniowych,
• saldo tokenów na koncie Użytkownika.

§ 4. Cele przetwarzania danych

1. Dane osobowe przetwarzane są w celu:
   • świadczenia usług drogą elektroniczną (rejestracja konta, publikacja ogłoszeń, korzystanie z Forum, Katalogu Firm i innych usług Portalu),
   • realizacji zamówień w Sklepie internetowym,
   • obsługi płatności elektronicznych, zarządzania subskrypcjami oraz rozliczania zakupów tokenów,
   • wysyłki Newslettera z aktualnościami branżowymi,
   • obsługi korespondencji i zapytań Użytkowników,
   • prowadzenia dokumentacji rachunkowo-podatkowej,
   • zapewnienia bezpieczeństwa i stabilności Portalu,
   • celów analitycznych i statystycznych (poprawa funkcjonalności i jakości Portalu),
   • dochodzenia lub obrony przed roszczeniami,
   • wyświetlania reklam i treści marketingowych (w tym reklam kontekstowych i remarketingowych) — wyłącznie po uzyskaniu zgody Użytkownika.

§ 5. Okres przechowywania danych

1. Dane osobowe przechowywane są przez okres niezbędny do realizacji celu, dla którego zostały zebrane:
   • Konto Użytkownika — przez czas posiadania aktywnego konta oraz przez okres przedawnienia ewentualnych roszczeń po jego usunięciu,
   • Newsletter — do czasu wycofania zgody (wypisania się),
   • Zamówienia w Sklepie — przez okres wymagany przepisami prawa podatkowego i rachunkowego (5 lat od końca roku podatkowego),
   • Dane rozliczeniowe (subskrypcje i tokeny) — przez okres wymagany przepisami prawa podatkowego i rachunkowego (5 lat od końca roku podatkowego, w którym dokonano transakcji), a następnie usuwane lub anonimizowane,
   • Dane zbierane automatycznie (logi serwera) — przez okres nieprzekraczający 12 miesięcy,
   • Dane analityczne — zgodnie z polityką retencji danych narzędzi analitycznych (standardowo do 14 miesięcy).
2. Po upływie wskazanych okresów dane są usuwane lub anonimizowane.

§ 6. Prawa Użytkownika

1. Każdy Użytkownik, którego dane osobowe są przetwarzane przez Administratora, ma prawo do:
   • dostępu do treści swoich danych (art. 15 RODO),
   • sprostowania danych, które są nieprawidłowe lub niekompletne (art. 16 RODO),
   • usunięcia danych („prawo do bycia zapomnianym") (art. 17 RODO),
   • ograniczenia przetwarzania (art. 18 RODO),
   • przenoszenia danych (art. 20 RODO),
   • sprzeciwu wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu Administratora, w tym profilowania (art. 21 RODO),
   • cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO).
2. W celu realizacji powyższych praw Użytkownik może skontaktować się z Administratorem za pośrednictwem formularza kontaktowego lub drogą e-mail na adres podany na stronie drewno.pl/kontakt.
3. Użytkownik ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

§ 7. Odbiorcy danych

1. Dane osobowe Użytkowników mogą być przekazywane następującym kategoriom odbiorców:
   • dostawcom usług hostingowych i infrastruktury IT,
   • dostawcom usług płatności elektronicznych (Stripe, Inc. — przetwarzanie płatności kartowych i obsługa subskrypcji),
   • dostawcom usług analitycznych (np. Google Analytics — po uzyskaniu zgody Użytkownika),
   • dostawcom systemów reklamowych (Revive Adserver — serwer reklam własny Administratora),
   • dostawcom usług e-mail (wysyłka Newslettera),
   • podmiotom uprawnionym na podstawie przepisów prawa (np. organy podatkowe, sądy).
2. Administrator nie sprzedaje danych osobowych Użytkowników podmiotom trzecim.
3. W przypadku korzystania z usług podmiotów mających siedzibę poza Europejskim Obszarem Gospodarczym (EOG), transfer danych odbywa się na podstawie standardowych klauzul umownych lub decyzji Komisji Europejskiej stwierdzającej adekwatny stopień ochrony.

§ 8. Pliki cookies

8.1. Czym są pliki cookies

1. Pliki cookies (ciasteczka) to niewielkie pliki tekstowe zapisywane na urządzeniu Użytkownika (komputerze, smartfonie, tablecie) podczas korzystania z Portalu.
2. Cookies nie zawierają danych identyfikujących Użytkownika w sposób bezpośredni i nie powodują zmian konfiguracyjnych w urządzeniu Użytkownika.

8.2. Rodzaje stosowanych plików cookies

Portal stosuje następujące kategorie plików cookies:

Niezbędne (funkcjonalne)

Pliki wymagane do prawidłowego działania Portalu: sesja logowania, token CSRF, preferencje interfejsu (np. wybrany język), stan zgody na cookies (drewno_consent), preferencje językowe (app_locale). Nie można ich wyłączyć, ponieważ bez nich Portal nie będzie działał prawidłowo.

Analityczne

Pliki umożliwiające zbieranie anonimowych statystyk dotyczących sposobu korzystania z Portalu (np. Google Analytics). Służą do mierzenia ruchu i zachowania Użytkowników na stronie. Są ustawiane wyłącznie po wyrażeniu zgody przez Użytkownika.

Marketingowe

Pliki umożliwiające wyświetlanie spersonalizowanych reklam i prowadzenie działań remarketingowych. Dane mogą być udostępniane partnerom reklamowym Portalu. Są ustawiane wyłącznie po wyrażeniu zgody przez Użytkownika.

8.3. Zarządzanie zgodami na cookies

1. Przy pierwszej wizycie na Portalu Użytkownik (niezalogowany) jest informowany o stosowaniu plików cookies za pośrednictwem baneru zgody (Cookie Consent Banner).
2. Użytkownik może:
   • zaakceptować wszystkie kategorie cookies,
   • wyrazić zgodę wyłącznie na cookies niezbędne,
   • szczegółowo skonfigurować swoje preferencje w panelu „Ustawienia prywatności".
3. Użytkownik może w dowolnym momencie zmienić swoje preferencje dotyczące cookies, klikając link „Cookies" w stopce Portalu.
4. Zalogowani Użytkownicy — poprzez fakt posiadania aktywnej sesji — wyrażają zgodę na cookies niezbędne do działania konta.
5. Niezależnie od ustawień Portalu, Użytkownik może zarządzać plikami cookies na poziomie przeglądarki internetowej (usuwanie, blokowanie, ograniczanie domeny). Wyłączenie cookies może ograniczyć funkcjonalność Portalu.

8.4. Okres przechowywania cookies

• Cookies sesyjne — usuwane automatycznie po zamknięciu przeglądarki,
• Cookies trwałe — przechowywane przez okres określony w parametrach danego pliku cookie, jednak nie dłużej niż 12 miesięcy.

§ 9. Usługi zewnętrzne

Portal korzysta z następujących usług zewnętrznych, które mogą przetwarzać dane Użytkowników:

Stripe, Inc.

Obsługa płatności elektronicznych i subskrypcji. Polityka prywatności: stripe.com/privacy

Google Analytics (Google LLC)

Analiza ruchu na stronie — aktywowany wyłącznie po wyrażeniu zgody na cookies analityczne. Polityka prywatności: policies.google.com/privacy

Revive Adserver

System wyświetlania reklam. Serwer reklam obsługiwany jest bezpośrednio przez Administratora na własnej infrastrukturze.

Google Fonts

Czcionki ładowane ze serwerów Google. Polityka prywatności: policies.google.com/privacy

Facebook, YouTube, X (Twitter), LinkedIn

Przyciski i linki do mediów społecznościowych. Dane Użytkownika są przekazywane tym serwisom wyłącznie w momencie kliknięcia linku i przejścia na stronę danego serwisu.

§ 10. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające ochronę danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem lub ujawnieniem, w tym:
   • szyfrowanie połączenia z Portalem (protokół HTTPS / TLS),
   • przechowywanie haseł wyłącznie w postaci zaszyfrowanej z użyciem algorytmów kryptograficznych,
   • ochronę przed atakami CSRF (Cross-Site Request Forgery) za pomocą tokenów jednorazowych,
   • regularne aktualizacje oprogramowania serwera i aplikacji,
   • ograniczenie dostępu do danych osobowych do uprawnionych pracowników i współpracowników Administratora.
2. Pomimo stosowania odpowiednich środków bezpieczeństwa, Administrator informuje, że żadne rozwiązanie informatyczne nie gwarantuje pełnej ochrony przed cyberzagrożeniami.

§ 11. Profilowanie

1. Administrator nie podejmuje zautomatyzowanych decyzji, w tym decyzji opartych na profilowaniu, które wywołują wobec Użytkownika skutki prawne lub w podobny sposób istotnie na niego wpływają.
2. Portal może wykorzystywać dane o aktywności Użytkownika (np. przeglądane kategorie) do wyświetlania treści lepiej dopasowanych do zainteresowań Użytkownika. Tego rodzaju personalizacja nie stanowi profilowania w rozumieniu art. 22 RODO.

§ 12. Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności w celu jej dostosowania do zmian w przepisach prawa lub zmian w sposobie przetwarzania danych osobowych.
2. O istotnych zmianach Użytkownicy posiadający konto zostaną poinformowani drogą elektroniczną lub za pośrednictwem komunikatu wyświetlanego w Portalu.
3. Aktualna wersja Polityki Prywatności jest zawsze dostępna pod adresem: drewno.pl/polityka-prywatnosci.html

§ 13. Postanowienia końcowe

1. Niniejsza Polityka Prywatności wchodzi w życie z dniem 28 marca 2026 r.
2. W sprawach nieuregulowanych niniejszą Polityką Prywatności zastosowanie mają przepisy RODO, ustawy o ochronie danych osobowych oraz inne obowiązujące akty prawne.
3. Oficjalnym i wiążącym źródłem Polityki Prywatności jest jej wersja sporządzona w języku polskim. Wersje w innych językach mają charakter wyłącznie informacyjny.