Polityka Prywatności

1. Administrator danych osobowych

Administratorem danych osobowych użytkowników Sklepu jest:

We wszelkich sprawach dotyczących przetwarzania danych osobowych użytkownik może skontaktować się z Administratorem pisemnie na adres siedziby lub elektronicznie pod adresem rodo@mydeli.pl.

2. Definicje

Pojęcia używane w niniejszej Polityce Prywatności mają następujące znaczenie:

• Administrator – Bemar Sp. z o.o. Sp. k. z siedzibą w Bydgoszczy, wskazany w pkt 1;
• RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.;
• Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
• Użytkownik – każda osoba fizyczna korzystająca ze Sklepu, w tym Klient oraz osoba odwiedzająca stronę;
• Klient – Użytkownik składający zamówienie w Sklepie, posiadający lub zakładający konto użytkownika;
• Sklep – sklep internetowy prowadzony przez Administratora pod adresem mydeli.pl, oferujący produkty spożywcze i artykuły codziennego użytku z sieci SPAR;
• Pliki cookies – niewielkie pliki tekstowe zapisywane w urządzeniu końcowym Użytkownika podczas korzystania ze Sklepu.

3. Cele, podstawy prawne i okresy przetwarzania danych

Administrator przetwarza dane osobowe Użytkowników w celach, w zakresie i na podstawach wskazanych poniżej.

3.1. Realizacja zamówień i umów sprzedaży

Cel: zawarcie i wykonanie umowy sprzedaży produktów spożywczych i artykułów codziennego użytku zamówionych w Sklepie, w tym przygotowanie zamówienia w sklepie SPAR, dostawa lub odbiór osobisty, obsługa płatności, kontakt w sprawie zamówienia oraz obsługa reklamacji i zwrotów.

Podstawa prawna: art. 6 ust. 1 lit. b RODO – wykonanie umowy, której stroną jest osoba, której dane dotyczą, lub podjęcie działań przed zawarciem umowy.

Zakres danych: imię, nazwisko, adres dostawy, adres e-mail, numer telefonu, dane do faktury (w tym NIP dla przedsiębiorców), historia zamówień, dane dotyczące preferowanego sklepu odbioru, uwagi do zamówienia, dane płatnicze w zakresie niezbędnym do realizacji płatności.

Okres przechowywania: dane kontaktowe i adresowe zamówienia — 24 miesiące od dostarczenia lub zakończenia realizacji; dla zamówień nieopłaconych, anulowanych i nieudanych — 90 dni od ostatniej zmiany. Następnie dane są anonimizowane, z zachowaniem miasta i kodu pocztowego do statystyki.

3.2. Wystawianie i przechowywanie dokumentów księgowych

Cel: wypełnienie obowiązków prawnych ciążących na Administratorze, w szczególności wynikających z przepisów podatkowych i o rachunkowości (wystawianie faktur, ewidencja sprzedaży, rozliczenia VAT, przekazywanie faktur do Krajowego Systemu e-Faktur).

Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z ustawą o rachunkowości, ustawą o podatku od towarów i usług oraz Ordynacją podatkową.

Okres przechowywania: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

3.3. Prowadzenie konta użytkownika

Cel: świadczenie drogą elektroniczną usługi konta użytkownika, umożliwiającej przeglądanie historii zamówień, zarządzanie listami zakupowymi, zapisanymi adresami dostawy oraz składanie zamówień bez ponownego wprowadzania danych.

Podstawa prawna: art. 6 ust. 1 lit. b RODO – wykonanie umowy o świadczenie usług drogą elektroniczną zawieranej poprzez akceptację Regulaminu.

Okres przechowywania: do momentu usunięcia konta przez Użytkownika lub przez Administratora na wniosek Użytkownika, z zastrzeżeniem obowiązków wynikających z przepisów prawa.

3.4. Marketing bezpośredni własnych produktów i usług

Cel: promowanie własnych produktów i usług Administratora oraz sieci SPAR, informowanie o ofercie, promocjach, programach lojalnościowych oraz akcjach marketingowych realizowanych w Sklepie.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na prowadzeniu działań marketingowych wobec własnych klientów. Wysyłka informacji handlowych drogą elektroniczną oraz kontakt marketingowy w rozumieniu art. 172 Prawa telekomunikacyjnego wymaga odrębnej zgody.

Okres przechowywania: do czasu zgłoszenia sprzeciwu lub wycofania zgody.

3.5. Newsletter

Cel: wysyłanie drogą elektroniczną informacji o produktach, promocjach cotygodniowych gazetek SPAR, nowościach oraz programach lojalnościowych.

Podstawa prawna: art. 6 ust. 1 lit. a RODO – zgoda osoby, której dane dotyczą, wyrażona poprzez zapis na newsletter i potwierdzenie adresu e-mail (mechanizm double opt-in).

Okres przechowywania: adres e-mail — do wycofania zgody (np. linkiem rezygnacji w wiadomości), następnie przez 30 dni; później pozostaje skrót (hash) adresu do obsługi sprzeciwu. Niepotwierdzone zapisy usuwamy po 30 dniach. Newsletter nie wymaga imienia ani kodu pocztowego.

3.6. Obsługa reklamacji, zwrotów i dochodzenie roszczeń

Cel: rozpatrywanie reklamacji (w tym reklamacji jakościowych produktów spożywczych), obsługa odstąpień od umowy i zwrotów, a także ustalenie, dochodzenie lub obrona przed roszczeniami.

Podstawa prawna: art. 6 ust. 1 lit. b oraz lit. f RODO – wykonanie umowy oraz prawnie uzasadniony interes Administratora.

Okres przechowywania: dane kontaktowe i treść zamkniętych reklamacji anonimizujemy po 24 miesiącach od zamknięcia; dokumenty rozliczeniowe przechowujemy przez okres opisany w pkt 3.2.

3.7. Weryfikacja pełnoletności przy sprzedaży wyrobów alkoholowych i tytoniowych

Cel: weryfikacja pełnoletności Klienta przy zakupie i wydaniu napojów alkoholowych oraz wyrobów tytoniowych, zgodnie z przepisami ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi oraz ustawy o ochronie zdrowia przed następstwami używania tytoniu i wyrobów tytoniowych.

Podstawa prawna: art. 6 ust. 1 lit. c RODO – wypełnienie obowiązku prawnego ciążącego na Administratorze.

Zakres danych: oświadczenie o pełnoletności, a w chwili wydania towaru – okazanie dokumentu tożsamości pracownikowi sklepu lub kurierowi (sam dokument nie jest kopiowany ani zapisywany).

3.8. Formularz kontaktowy i korespondencja

Cel: udzielenie odpowiedzi na pytania przesłane za pośrednictwem formularza kontaktowego, adresu e-mail lub telefonu.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na prowadzeniu korespondencji z Użytkownikami.

Okres przechowywania: przez okres niezbędny do obsługi zapytania, nie dłużej niż 12 miesięcy od ostatniego kontaktu, chyba że dalsze przechowywanie jest uzasadnione.

3.9. Analityka, statystyki i poprawa funkcjonowania Sklepu

Cel: prowadzenie statystyk ruchu, analiza korzystania ze Sklepu, wykrywanie nadużyć, zapewnienie bezpieczeństwa oraz usprawnianie funkcjonalności.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora; w przypadku technologii wymagających zgody (np. marketingowe pliki cookies) – art. 6 ust. 1 lit. a RODO.

Okres przechowywania: zgodnie z czasem życia poszczególnych plików cookies wskazanym w pkt 8.

3.10. Zapobieganie oszustwom i zapewnienie bezpieczeństwa

Cel: wykrywanie i przeciwdziałanie nadużyciom, w tym transakcjom dokonywanym z wykorzystaniem skradzionych instrumentów płatniczych, ochrona przed atakami i nieautoryzowanym dostępem.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora.

Okres przechowywania: do czasu przedawnienia roszczeń lub wygaśnięcia obowiązków wynikających z przepisów prawa.

3.11. Asystent DeliBot

DeliBot to system sztucznej inteligencji (AI), który pomaga znaleźć produkty i zarządzać koszykiem. Podczas rozmowy nie kontaktujesz się z człowiekiem.

Zakres danych: treść Twoich wiadomości i odpowiedzi asystenta, informacje o wyszukiwanych produktach oraz przekazany kontekst koszyka: identyfikatory i nazwy produktów, ilości oraz ceny. Czat nie pobiera historii zamówień ani danych dostawy z konta. Dane wpisane przez Ciebie w wiadomości także trafiają do modelu — nie podawaj danych wrażliwych ani danych płatniczych.

Cel i podstawa prawna: obsługa Twojego zapytania i pomoc w zakupach na Twoje żądanie — art. 6 ust. 1 lit. b RODO.

Dostawca modelu: Anthropic, PBC, z którego API korzystamy do generowania odpowiedzi. Dane są przetwarzane poza Europejskim Obszarem Gospodarczym, w tym w USA, na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (decyzja 2021/914). Rozmowy nie służą trenowaniu modeli AI.

Przechowywanie rozmowy: w domyślnym trybie działania nie zapisujemy transkryptów na serwerze sklepu. W Twojej przeglądarce zapisujemy do 30 ostatnich wiadomości; przy ponownym wczytaniu czatu odrzucamy historię starszą niż godzinę od ostatniego zapisu. Możesz ją usunąć przyciskiem „Wyczyść”. Anthropic standardowo usuwa dane API w ciągu 30 dni, z wyjątkami związanymi z bezpieczeństwem i obowiązkami prawnymi; przy aktywnej umowie Zero Data Retention nie przechowuje treści w ramach standardowej retencji API.

4. Odbiorcy danych

W związku z realizacją celów wskazanych powyżej dane osobowe Użytkowników mogą być udostępniane następującym kategoriom odbiorców:

• sklepom sieci SPAR i EuroSPAR realizującym zamówienia Klientów;
• podmiotom realizującym dostawę towarów (operatorzy pocztowi, firmy kurierskie oraz platformy dostaw artykułów spożywczych);
• operatorom płatności elektronicznych oraz bankom obsługującym płatności;
• dostawcom usług IT, hostingu, chmury obliczeniowej oraz utrzymania i rozwoju Sklepu, w tym Anthropic, PBC — dostawcy modelu AI dla DeliBota;
• dostawcom systemów do wysyłki wiadomości e-mail i SMS;
• dostawcom narzędzi analitycznych i marketingowych;
• biurom rachunkowym, kancelariom prawnym, audytorom oraz firmom windykacyjnym w zakresie niezbędnym do świadczenia usług;
• podmiotom z grupy SPAR w zakresie, w jakim jest to niezbędne dla realizacji zamówień w sieci franczyzowej;
• organom państwowym oraz innym podmiotom uprawnionym do uzyskania dostępu do danych na podstawie obowiązujących przepisów prawa.

Wskazane podmioty zewnętrzne przetwarzają dane na podstawie umów powierzenia przetwarzania danych zawartych zgodnie z art. 28 RODO lub jako odrębni administratorzy – wyłącznie w zakresie niezbędnym do realizacji wskazanych celów.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Administrator co do zasady przetwarza dane osobowe na terenie Europejskiego Obszaru Gospodarczego (EOG). W przypadkach, w których korzystanie z niektórych narzędzi (w szczególności analitycznych, marketingowych lub chmurowych) wiąże się z transferem danych do państw trzecich, Administrator zapewnia odpowiednie zabezpieczenia przewidziane w art. 46 RODO, w szczególności:

• standardowe klauzule umowne zatwierdzone przez Komisję Europejską;
• przekazywanie danych do państw, w odniesieniu do których Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony;
• stosowanie dodatkowych środków technicznych i organizacyjnych w przypadkach, w których wymagają tego przepisy.

Użytkownik może uzyskać kopię zastosowanych zabezpieczeń, kontaktując się z Administratorem pod adresem rodo@mydeli.pl.

6. Prawa osób, których dane dotyczą

W związku z przetwarzaniem danych osobowych Użytkownikowi przysługują następujące prawa:

• Prawo dostępu do danych – uzyskania informacji o przetwarzanych danych i ich kopii (art. 15 RODO);
• Prawo do sprostowania – żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych (art. 16 RODO);
• Prawo do usunięcia danych – tzw. prawo do bycia zapomnianym, w zakresie i na zasadach określonych w art. 17 RODO;
• Prawo do ograniczenia przetwarzania – w przypadkach określonych w art. 18 RODO;
• Prawo do przenoszenia danych – otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie (art. 20 RODO);
• Prawo do sprzeciwu – wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec profilowania (art. 21 RODO);
• Prawo do wycofania zgody – w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem (art. 7 ust. 3 RODO);
• Prawo do wniesienia skargi – do organu nadzorczego, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Z praw tych Użytkownik może skorzystać, kontaktując się z Administratorem drogą elektroniczną pod adresem rodo@mydeli.pl lub pisemnie na adres siedziby. Administrator udziela odpowiedzi na żądanie bez zbędnej zwłoki, nie później niż w terminie miesiąca od jego otrzymania, z możliwością przedłużenia tego terminu zgodnie z art. 12 ust. 3 RODO.

7. Dobrowolność podania danych i profilowanie

Podanie danych osobowych jest dobrowolne, jednak w określonych sytuacjach może być warunkiem koniecznym do skorzystania z funkcjonalności Sklepu – w szczególności do zawarcia umowy sprzedaży, założenia konta użytkownika, wystawienia faktury czy otrzymywania newslettera. Niepodanie danych wymaganych w formularzach uniemożliwi realizację wskazanych usług.

Administrator może dokonywać profilowania danych Użytkowników w celu dostosowania prezentowanych ofert, promocji i rekomendacji produktów do ich preferencji zakupowych. Profilowanie to nie wywołuje wobec Użytkownika skutków prawnych ani nie wpływa na niego w podobnie istotny sposób w rozumieniu art. 22 RODO. Użytkownik ma prawo w każdej chwili wnieść sprzeciw wobec profilowania.

8. Pliki cookies i inne technologie śledzące

8.1. Czym są pliki cookies

Pliki cookies to niewielkie pliki tekstowe zapisywane w urządzeniu końcowym Użytkownika (komputerze, telefonie, tablecie) podczas korzystania ze Sklepu. Zawierają one zazwyczaj nazwę strony pochodzenia, czas przechowywania oraz unikalny numer. Służą różnym celom technicznym, funkcjonalnym, analitycznym i marketingowym.

8.2. Rodzaje plików cookies wykorzystywanych w Sklepie

• Niezbędne (techniczne) – zapewniają podstawowe funkcjonowanie Sklepu, np. utrzymanie sesji zalogowanego użytkownika, koszyka zakupów, wybór sklepu odbioru oraz bezpieczeństwo. Nie wymagają zgody Użytkownika.
• Funkcjonalne – umożliwiają zapamiętanie preferencji Użytkownika, takich jak preferowany sklep odbioru, lista ulubionych produktów, forma dostawy. Instalowane są za zgodą Użytkownika.
• Analityczne i statystyczne – pozwalają na zbieranie informacji o sposobie korzystania ze Sklepu (m.in. liczba odwiedzin, źródła ruchu, podstrony), w celu ulepszania działania serwisu. Wymagają zgody Użytkownika.
• Marketingowe i reklamowe – służą dostosowywaniu treści reklamowych do zainteresowań Użytkownika oraz mierzeniu skuteczności kampanii. Instalowane wyłącznie na podstawie zgody.

8.3. Zarządzanie zgodami

Podczas pierwszej wizyty w Sklepie Użytkownikowi wyświetlany jest baner informacyjny umożliwiający zarządzanie ustawieniami plików cookies. Użytkownik może w dowolnym momencie zmienić swoje wybory, korzystając z panelu ustawień dostępnego w stopce Sklepu („Ustawienia prywatności”). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Użytkownik może również zarządzać plikami cookies z poziomu ustawień przeglądarki internetowej, w tym je blokować lub usuwać. Ograniczenie stosowania plików cookies może wpłynąć na niektóre funkcjonalności Sklepu.

Meta Pixel (cookies _fbp, _fbc) ładowany jest wyłącznie po wyrażeniu zgody marketingowej w banerze cookies. Statystyki odwiedzin realizujemy narzędziem Umami, które nie zapisuje plików cookie. Pełna lista z celami, dostawcami i okresami przechowywania znajduje się w Polityce cookies.

8.4. Dostawcy narzędzi zewnętrznych

W Sklepie mogą być wykorzystywane narzędzia dostarczane przez podmioty trzecie, w szczególności:

• narzędzia analityczne (np. Google Analytics dostarczane przez Google Ireland Limited);
• narzędzia marketingowe i remarketingowe (np. Google Ads, Meta Pixel);
• narzędzia do obsługi płatności elektronicznych;
• narzędzia do komunikacji z Użytkownikami (np. czat on-line, system obsługi zgłoszeń).

Szczegółowe informacje o tych narzędziach, w tym polityki prywatności ich dostawców, dostępne są w panelu zarządzania zgodami oraz na stronach internetowych poszczególnych dostawców.

9. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa przetwarzanych danych osobowych, adekwatne do zidentyfikowanego ryzyka naruszenia praw i wolności osób, których dane dotyczą. W szczególności stosowane są:

• szyfrowanie transmisji danych (SSL/TLS);
• kontrola dostępu do systemów i pomieszczeń, w których przetwarzane są dane;
• uwierzytelnianie wieloskładnikowe w systemach administracyjnych;
• regularne kopie bezpieczeństwa i testy odtwarzania;
• monitorowanie bezpieczeństwa systemów IT (systemy klasy SIEM, systemy wykrywania włamań);
• szkolenia personelu w zakresie ochrony danych osobowych;
• weryfikacja kontrahentów przetwarzających dane na zlecenie Administratora.

10. Dane osobowe dzieci

Sklep nie jest skierowany do osób poniżej 16. roku życia. Administrator nie gromadzi świadomie danych osobowych dzieci. Złożenie zamówienia oraz zawarcie umowy w Sklepie wymaga posiadania pełnej zdolności do czynności prawnych, a w przypadku osób ograniczonych w zdolności do czynności prawnych – zgody przedstawiciela ustawowego w zakresie przewidzianym przepisami prawa. W przypadku powzięcia informacji o przetwarzaniu danych osoby poniżej 16. roku życia bez wymaganej zgody, Administrator niezwłocznie podejmie działania w celu ich usunięcia.

11. Linki do stron zewnętrznych

Sklep może zawierać odnośniki do innych stron internetowych, w tym stron partnerów handlowych, producentów i podmiotów z sieci SPAR. Administrator nie ponosi odpowiedzialności za zasady zachowania prywatności obowiązujące na tych stronach. Zaleca się zapoznanie z polityką prywatności każdej odwiedzanej witryny.

12. Zmiany Polityki Prywatności

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności. Zmiany mogą wynikać w szczególności z rozwoju funkcjonalności Sklepu, zmian w obowiązujących przepisach prawa lub interpretacjach organów nadzoru. O istotnych zmianach Użytkownicy posiadający konto w Sklepie zostaną poinformowani drogą elektroniczną, z odpowiednim wyprzedzeniem. Aktualna wersja Polityki Prywatności jest zawsze dostępna na stronie Sklepu.

13. Kontakt w sprawach ochrony danych

W sprawach związanych z ochroną danych osobowych oraz realizacją praw wskazanych w niniejszej Polityce Prywatności Użytkownik może kontaktować się z Administratorem:

• drogą elektroniczną: rodo@mydeli.pl,
• pisemnie: Bemar Sp. z o.o. Sp. k., ul. Grzymały-Siedleckiego 20, 85-857 Bydgoszcz (z dopiskiem „Dane osobowe”).

Niniejsza Polityka Prywatności wchodzi w życie z dniem 23 kwietnia 2026 r.