Polityka prywatności

Polityka prywatności i informacja RODO sklepu Bubu Performance Parts. Aktualizacja: 26.07.2026 r.

Niniejsza Polityka opisuje, jak przetwarzamy dane osobowe osób korzystających ze sklepu bubuparts.pl, zgodnie z rozporządzeniem (UE) 2016/679 (RODO).

1. Administrator danych

Administratorem danych osobowych jest Rafał Barzycki, prowadzący działalność gospodarczą pod nazwą „Bubu Performance Parts", ul. Zorzy 30B/9, 04-639 Warszawa, NIP 9522125047. Kontakt w sprawie danych: e-mail [email protected], telefon +48 571 511 021. Nie wyznaczyliśmy inspektora ochrony danych.

2. Jakie dane przetwarzamy

Sklep działa bez zakładania kont — zamówienia składasz jako gość. Nie zbieramy danych logowania ani profili użytkowników. Przetwarzamy następujące kategorie danych:

dane zamówienia: imię i nazwisko, adres dostawy, adres e-mail, numer telefonu, a w przypadku faktury — nazwa firmy, adres i NIP,
dane transakcji: numer zamówienia, zamówione produkty, kwota; samej płatności dokonujesz u operatora płatności (nie przechowujemy danych karty),
dane korespondencji: treść zapytań kierowanych do nas e-mailem lub telefonicznie,
dane techniczne: adres IP oraz dane niezbędne do zabezpieczenia strony przed nadużyciami (mechanizm antyspamowy).

3. Cele, podstawy prawne i okres przechowywania

Realizacja zamówienia i umowy — art. 6 ust. 1 lit. b RODO. Dane przechowujemy przez czas realizacji umowy oraz okres przedawnienia roszczeń.
Wystawienie i przechowywanie dokumentów księgowych — art. 6 ust. 1 lit. c RODO. Dokumenty przechowujemy przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku podatkowego).
Rozpatrywanie reklamacji i odstąpień od umowy — art. 6 ust. 1 lit. c oraz lit. b RODO. Dane przechowujemy do czasu zakończenia postępowania i upływu terminów wynikających z przepisów.
Obsługa zapytań i kontaktu — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — udzielenie odpowiedzi), a gdy zapytanie zmierza do zawarcia umowy — lit. b.
Dochodzenie lub obrona roszczeń — art. 6 ust. 1 lit. f RODO. Dane przechowujemy do upływu terminów przedawnienia.
Bezpieczeństwo strony i zapobieganie nadużyciom — art. 6 ust. 1 lit. f RODO.

4. Odbiorcy danych

Dane mogą być powierzane podmiotom przetwarzającym je na nasze zlecenie, w zakresie niezbędnym do realizacji powyższych celów:

operator dostawy — InPost S.A. (kurier i Paczkomaty),
operator płatności — Paynow (mBank S.A.),
dostawca hostingu i poczty — Microsoft (Microsoft Azure oraz Azure Communication Services),
ochrona przed botami/spamem — Cloudflare, Inc. (Turnstile),
analityka odwiedzin — Google Analytics 4 (Google Ireland Limited / Google LLC), wyłącznie po udzieleniu zgody na cookie analityczne — patrz pkt 9,
dostawcy realizujący wysyłkę zamówienia w modelu dropshipping — w zakresie danych adresowych i kontaktowych niezbędnych do dostarczenia przesyłki (imię i nazwisko, adres dostawy, adres e-mail, numer telefonu), na podstawie art. 6 ust. 1 lit. b RODO (wykonanie umowy),
biuro rachunkowe obsługujące rozliczenia (jeżeli dotyczy).

Dane mogą być także udostępnione organom publicznym, jeżeli wynika to z obowiązujących przepisów. NIP podany do faktury może być weryfikowany w publicznych rejestrach (np. wykaz podatników VAT Ministerstwa Finansów).

5. Przekazywanie danych poza EOG

Co do zasady dane przetwarzane są w Europejskim Obszarze Gospodarczym (EOG); usługi hostingu konfigurujemy w regionie europejskim. Niektórzy dostawcy (np. Cloudflare, Microsoft) mogą przetwarzać dane także poza EOG — w takim przypadku odbywa się to na podstawie odpowiednich zabezpieczeń, w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

6. Twoje prawa

prawo dostępu do danych oraz uzyskania ich kopii,
prawo do sprostowania, usunięcia lub ograniczenia przetwarzania,
prawo do przenoszenia danych,
prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
prawo do cofnięcia zgody — w zakresie, w jakim przetwarzanie odbywa się na podstawie zgody (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem),
prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Aby skorzystać z praw, skontaktuj się z nami pod adresem [email protected].

7. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do zawarcia i realizacji umowy (złożenia i obsługi zamówienia) oraz do wystawienia dokumentu sprzedaży. Niepodanie danych uniemożliwi realizację zamówienia.

8. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

9. Pliki cookies, pamięć przeglądarki i zgoda

Sklep korzysta z Google Analytics 4 (Google Ireland Limited, a dla przetwarzania poza EOG — Google LLC) do analizy statystyk odwiedzin i sposobu korzystania ze sklepu (liczba odwiedzin, popularne strony, źródło ruchu, orientacyjna szybkość działania strony). W tym celu — wyłącznie po udzieleniu zgody — zapisywane są pliki cookie: _ga (identyfikator przeglądarki, ważność ok. 2 lata) oraz _ga_<identyfikator> (stan bieżącej sesji pomiarowej, ważność ok. 2 lata). Adres IP jest anonimizowany (parametr anonymize_ip), a adresy stron zawierające tajny token zamówienia lub oceny (parametr ?token=...) są przed wysyłką pozbawiane parametrów zapytania, więc taki token nigdy nie trafia do Google.

Podstawą prawną przetwarzania w Google Analytics 4 jest Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 173 ustawy Prawo telekomunikacyjne). Zgodę zbieramy za pomocą banera cookies, który pojawia się przy pierwszej wizycie i daje dwa równorzędne wybory: „Akceptuję" (włącza cookie analityczne) albo „Tylko niezbędne" (cookie analityczne pozostają wyłączone, a jeśli już wcześniej je zapisano — usuwamy _ga/_ga_* zarówno dla domeny, jak i dla jej wersji z kropką). Technicznie stosujemy Google Consent Mode v2: domyślnie cała analityka jest zablokowana (denied) i włącza się dopiero po Twojej decyzji. Zgodę możesz cofnąć w dowolnym momencie — link „Ustawienia cookies" w stopce strony otwiera baner ponownie.

Niezależnie od zgody na analitykę używamy pamięci przeglądarki (localStorage) w celach ściśle funkcjonalnych — do zapamiętania wybranego języka, motywu, zawartości koszyka oraz, dla Twojej wygody, danych wpisanych w formularzu zamówienia (zapisywanych lokalnie, na Twoim urządzeniu); mechanizm ochrony przed botami (Cloudflare Turnstile) może zapisywać niezbędne dane techniczne wymagane do działania zabezpieczenia. Ta pamięć NIE wymaga zgody — jest objęta wyjątkiem z art. 173 ust. 3 ustawy Prawo telekomunikacyjne (cel ściśle niezbędny do świadczenia usługi, o którą prosisz). Google może przetwarzać dane w ramach Google Analytics poza EOG (Google LLC, USA) na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską — patrz też pkt 5. Cookies i pamięcią możesz zawsze zarządzać też bezpośrednio w ustawieniach swojej przeglądarki.

10. Zmiany polityki

Politykę możemy aktualizować w razie zmiany przepisów lub sposobu działania sklepu. Aktualna wersja jest zawsze dostępna na tej stronie.

Privacy Policy

This Policy describes how we process the personal data of people using the bubuparts.pl store, in accordance with Regulation (EU) 2016/679 (GDPR).

1. Data controller

The data controller is Rafał Barzycki, sole proprietor trading as „Bubu Performance Parts", ul. Zorzy 30B/9, 04-639 Warszawa, Poland, VAT ID (NIP) 9522125047. Data contact: e-mail [email protected], phone +48 571 511 021. We have not appointed a data protection officer.

2. What data we process

The store works without user accounts — you order as a guest. We do not collect login data or user profiles. We process the following categories of data:

order data: name, delivery address, e-mail, phone number, and for an invoice — company name, address and VAT ID,
transaction data: order number, ordered products, amount; the payment itself is made at the payment provider (we do not store card data),
correspondence data: the content of enquiries you send us by e-mail or phone,
technical data: IP address and data needed to protect the site against abuse (anti-spam mechanism).

3. Purposes, legal bases and retention

Order and contract performance — Art. 6(1)(b) GDPR. Kept for the duration of the contract and the limitation period for claims.
Issuing and keeping accounting documents — Art. 6(1)(c) GDPR. Kept for the period required by tax law (as a rule 5 years from the end of the tax year).
Handling complaints and withdrawals — Art. 6(1)(c) and (b) GDPR. Kept until the matter is closed and statutory deadlines pass.
Handling enquiries and contact — Art. 6(1)(f) GDPR (legitimate interest — responding), or (b) where the enquiry aims at concluding a contract.
Establishing or defending claims — Art. 6(1)(f) GDPR. Kept until limitation periods expire.
Site security and abuse prevention — Art. 6(1)(f) GDPR.

4. Recipients

Data may be entrusted to processors acting on our behalf, to the extent necessary for the above purposes:

delivery operator — InPost S.A. (courier and parcel lockers),
payment provider — Paynow (mBank S.A.),
hosting and e-mail provider — Microsoft (Microsoft Azure and Azure Communication Services),
bot/spam protection — Cloudflare, Inc. (Turnstile),
visit analytics — Google Analytics 4 (Google Ireland Limited / Google LLC), only once you have consented to analytics cookies — see point 9,
suppliers who fulfil the order in a dropshipping model — to the extent of address and contact data necessary to deliver the parcel (name, delivery address, e-mail address, phone number), on the basis of Art. 6(1)(b) GDPR (performance of the contract),
the accounting office handling settlements (where applicable).

Data may also be disclosed to public authorities where required by law. A VAT ID provided for an invoice may be verified in public registers (e.g. the Ministry of Finance VAT taxpayer list).

5. Transfers outside the EEA

As a rule, data is processed within the European Economic Area (EEA); we configure hosting in a European region. Some providers (e.g. Cloudflare, Microsoft) may process data outside the EEA — in that case on the basis of appropriate safeguards, in particular the standard contractual clauses approved by the European Commission.

6. Your rights

the right of access to your data and a copy of it,
the right to rectification, erasure or restriction of processing,
the right to data portability,
the right to object to processing based on legitimate interest,
the right to withdraw consent — where processing is based on consent (without affecting prior lawful processing),
the right to lodge a complaint with the President of the Personal Data Protection Office (ul. Stawki 2, 00-193 Warszawa, Poland).

To exercise your rights, contact us at [email protected].

7. Is providing data mandatory?

Providing data is voluntary but necessary to conclude and perform the contract (to place and handle an order) and to issue a sales document. Not providing the data makes order fulfilment impossible.

8. Automated decisions and profiling

We do not make decisions about you based solely on automated processing, including profiling, that would produce legal effects or similarly significantly affect you.

9. Cookies, browser storage and consent

The store uses Google Analytics 4 (Google Ireland Limited, and Google LLC for processing outside the EEA) to analyse visit statistics and how the store is used (visit counts, popular pages, traffic source, approximate site speed). For this purpose — only once you have given consent — the following cookies are set: _ga (browser identifier, lifetime ~2 years) and _ga_<container-id> (current measurement-session state, lifetime ~2 years). The IP address is anonymised (anonymize_ip), and page URLs carrying a secret order/review token (the ?token=... parameter) have their query string stripped before being sent, so that token never reaches Google.

The legal basis for processing in Google Analytics 4 is your consent (Art. 6(1)(a) GDPR and Art. 173 of the Telecommunications Act). We collect consent through a cookie banner that appears on your first visit and offers two equally weighted choices: "Accept" (turns analytics cookies on) or "Essential only" (analytics cookies stay off, and if they were already set, we delete _ga/_ga_* for both the domain and its dotted parent). Technically we use Google Consent Mode v2: all analytics is denied by default and only turns on after your decision. You can withdraw consent at any time — the "Cookie settings" link in the footer reopens the banner.

Regardless of analytics consent, we use browser storage (localStorage) for strictly functional purposes — to remember your chosen language, theme, cart contents and, for your convenience, the details you enter in the order form (stored locally, on your device); the bot-protection mechanism (Cloudflare Turnstile) may store technical data necessary for the safeguard to work. This storage does NOT require consent — it falls under the exemption in Art. 173(3) of the Telecommunications Act (a purpose strictly necessary to provide the service you requested). Google may process data within Google Analytics outside the EEA (Google LLC, USA) on the basis of standard contractual clauses approved by the European Commission — see also point 5. You can always manage cookies and storage directly in your browser settings, too.

10. Changes to this policy

We may update this Policy if the law or the way the store operates changes. The current version is always available on this page.