Polityka prywatności

Wersja z 10 września 2026 r.

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest Jolanta Graczyk prowadząca działalność gospodarczą pod firmą Novella Jolanta Graczyk, wpisana do CEIDG, NIP 8281009757, REGON 730217214. Adres wykonywania działalności: ul. Marynarzy Polskich 8, 92-730 Łódź. Adres sklepu stacjonarnego i korespondencji: ul. Gdańska 145, 90-536 Łódź.

W sprawach ochrony danych i korzystania ze swoich praw możesz napisać na [email protected], wysłać list na adres korespondencyjny albo zadzwonić pod numer +48 600 286 664.

Polityka dotyczy sklepu novella.pl, konta klienta, obsługi zamówień i kontaktu z Novellą. Wyjaśnia również przetwarzanie związane z dostawą, płatnościami, opiniami, bezpieczeństwem i pomiarem reklam.

2. Jakie dane otrzymujemy i skąd

Przetwarzamy dane podane podczas zakupów, zakładania konta, korespondencji, zwrotu lub reklamacji: imię i nazwisko, adres, e-mail, telefon, dane zamówienia i rozliczeń, a przy fakturze także dane firmy i NIP. Możemy otrzymać dane innego odbiorcy przesyłki, jeżeli wskażesz taką osobę przy zamówieniu. W tym przypadku źródłem danych odbiorcy jest zamawiający.

Operatorzy płatności przekazują informacje potrzebne do rozliczenia zamówienia, w szczególności identyfikator i status transakcji. Przewoźnicy przekazują informacje o nadaniu, doręczeniu i obsłudze przesyłki. Przy zakupie przez InPost Pay otrzymujemy dane zamówienia oraz wybrane przez Ciebie dane kontaktowe, dostawy i płatności z tej usługi.

Urządzenie i przeglądarka udostępniają dane techniczne, takie jak adres IP, czas połączenia, żądany adres strony, rodzaj przeglądarki i urządzenia. W związku z cookies i pomiarem ruchu przetwarzane mogą być identyfikatory przeglądarki, źródło wejścia, oznaczenia kampanii, odwiedzane strony i zdarzenia, np. dodanie produktu do koszyka i zakup. Zakres zależy od funkcji oraz zgód opisanych niżej.

Jeżeli korzystasz z logowania przez Google, otrzymujemy od Google dane potrzebne do rozpoznania konta, w tym identyfikator użytkownika, imię i nazwisko oraz adres e-mail. Nie otrzymujemy hasła do konta Google. Logowanie kodem wysłanym e-mailem służy potwierdzeniu dostępu do wskazanej skrzynki.

Podanie danych jest dobrowolne, ale bez danych oznaczonych jako wymagane nie możemy wykonać zamówienia, założyć konta lub odpowiedzieć na zgłoszenie. Dane rozliczeniowe wymagane przepisami są konieczne do wystawienia odpowiedniego dokumentu. Zgoda na reklamę i statystykę jest dobrowolna i nie stanowi warunku zakupów.

3. Po co i na jakiej podstawie przetwarzamy dane

Podstawy prawne odnoszą się do art. 6 ust. 1 RODO:

Zakupy, płatność, dostawa i konto — wykonanie umowy lub działania przed jej zawarciem na Twoje żądanie (lit. b).
Dostawa do odbiorcy innego niż zamawiający — nasz uzasadniony interes oraz interes zamawiającego polegający na doręczeniu przesyłki wskazanej osobie i kontakcie potrzebnym do doręczenia (lit. f).
Zwroty i reklamacje — wykonanie umowy (lit. b), obowiązki wynikające z przepisów konsumenckich (lit. c), a w razie sporu także ustalenie, dochodzenie i obrona roszczeń (lit. f).
Księgowość i podatki — wykonanie obowiązków prawnych (lit. c).
Odpowiedź na wiadomość i pomoc w doborze produktu — działania przed zawarciem lub przy wykonaniu umowy (lit. b); przy innych pytaniach nasz uzasadniony interes polegający na obsłudze korespondencji (lit. f).
Bezpieczeństwo, wykrywanie nadużyć i prawidłowe działanie sklepu — nasz uzasadniony interes polegający na ochronie sklepu, danych i transakcji (lit. f).
Zapamiętanie i wykazanie wyborów dotyczących cookies — obowiązki związane ze zgodami i rozliczalnością (lit. c).
Statystyka oparta na identyfikatorach użytkownika oraz reklama i remarketing — Twoja zgoda (lit. a), wraz ze zgodą wymaganą przez Prawo komunikacji elektronicznej na zapis lub odczyt informacji w urządzeniu.
Opinie i ochrona kupującego — zasady opisane w punkcie 6; zależnie od czynności jest to umowa (lit. b), zgoda (lit. a) albo uzasadniony interes w prezentowaniu wiarygodności sklepu (lit. f).

Do obsługi zamówienia nie potrzebujemy zgody marketingowej. Akceptacja regulaminu i zapoznanie się z polityką prywatności nie są zgodą na reklamę.

4. Płatności, dostawa i zwroty przesyłek

Dane przekazujemy w zakresie potrzebnym do obsługi wybranej metody:

PayU S.A., ul. Grunwaldzka 186, 60-166 Poznań — płatności elektroniczne, w tym BLIK i przelewy online. PayU jest odrębnym administratorem danych swojej usługi. Informacje: ochrona danych i obowiązki informacyjne PayU.
PayPro S.A., ul. Pastelowa 8, 60-198 Poznań — operator Przelewy24, odrębny administrator danych płatności. Informacje: PayPro dla płatników.
PayPo sp. z o.o., ul. Domaniewska 39, 02-672 Warszawa — płatności odroczone, w zakresie własnej usługi odrębny administrator. Informacje: przetwarzanie danych w PayPo.
Instytucja finansująca raty — podmiot wskazany podczas składania wniosku w procesie PayU. Samodzielnie odpowiada za przetwarzanie dotyczące wniosku, oceny zdolności kredytowej i umowy finansowania. Dane konkretnej instytucji i jej informacje o prywatności są udostępniane w tym procesie. Informacje o ratach PayU.
InPost sp. z o.o., ul. Pana Tadeusza 4, 30-727 Kraków — dostawa do automatów Paczkomat i kurierem oraz usługi InPost Pay. InPost odpowiada jako administrator za własne usługi. InPost Pay obejmuje także obsługę koszyka i zakupów w aplikacji; w jego procesie płatności administratorem wskazanym przez InPost jest Aion bank S.A., spółka akcyjna, oddział w Polsce. Polityka InPost, w tym InPost Pay.
DPD Polska sp. z o.o. — odrębny administrator danych potrzebnych do wykonania usługi kurierskiej. Ochrona danych DPD.

Przewoźnik otrzymuje dane odbiorcy, adres lub punkt odbioru, dane kontaktowe oraz informacje o przesyłce i ewentualnym pobraniu. Operator płatności otrzymuje dane identyfikujące płatność i zamówienie oraz dane wymagane dla danej usługi. Novella nie otrzymuje hasła do bankowości internetowej ani pełnych danych karty wpisywanych u operatora.

Kiedy wybierasz punkt dostawy na mapie, InPost otrzymuje dane potrzebne do wyświetlenia mapy i obsługi wyboru. Udostępnienie dokładnej lokalizacji urządzenia zależy od Twojej decyzji w przeglądarce. Gdy samodzielnie nadajesz zwrot przez WygodneZwroty, dane potrzebne do nadania podajesz także operatorowi tej usługi na jego stronie, na zasadach przedstawionych przed nadaniem. Novella otrzymuje dane pozwalające obsłużyć zwrot.

5. Dostawcy obsługujący sklep

Z danych mogą korzystać upoważnione osoby obsługujące sklep oraz dostawcy hostingu, poczty, utrzymania systemów, obsługi zamówień, księgowości i pomocy prawnej. Dane powierzane do obsługi naszych systemów są przetwarzane w naszym imieniu, w zakresie niezbędnym do wykonania zleconych usług. Dostawcy wykonujący własne obowiązki ustawowe odpowiadają za takie przetwarzanie samodzielnie.

Obsługa zamówień może odbywać się również w systemie BaseLinker. Infrastruktura sklepu korzysta z usług hostingu oraz Cloudflare w zakresie dostarczania treści, ochrony przed nadużyciami i danych technicznych o działaniu serwisu. Dane mogą być udostępnione organom publicznym, jeżeli wynika to z przepisów.

Zarządzanie zgodami zapewnia Cookiebot by Usercentrics, dostarczany przez Usercentrics A/S, Havnegade 39, 1058 Kopenhaga, Dania. Dostawca przetwarza w naszym imieniu m.in. identyfikator, stan i czas zgody oraz dane techniczne potrzebne do wyświetlenia banera i udokumentowania wyboru. Informacje Cookiebot.

6. Opinie i ochrona kupującego Trusted Shops

Korzystamy z Trusted Shops SE, Subbelrather Straße 15c, 50823 Kolonia, Niemcy, w celu prezentacji znaku jakości, ocen, ochrony kupującego i obsługi opinii. Samo wyświetlanie informacji o wiarygodności sklepu służy naszemu uzasadnionemu interesowi; zapis i odczyt informacji w urządzeniu, które nie są niezbędne dla zamówionej usługi, wymaga odpowiedniej zgody.

W zakresie gromadzenia i przekazywania danych przez Trustbadge oraz obsługi zaproszeń i statusu opinii Novella i Trusted Shops działają jako współadministratorzy. Novella odpowiada za podstawę prawną i informacje przy zbieraniu danych oraz za swoje systemy, a Trusted Shops za swoje systemy. Możesz wykonywać swoje prawa wobec każdego z tych podmiotów.

Do sprawdzenia członkostwa w Trusted Shops może być przekazywany skrót adresu e-mail. Przy realizacji zamówionej ochrony i powiązanych usług przekazywane mogą być także adres e-mail, identyfikator sklepu, numer, data, wartość i waluta zamówienia oraz metoda płatności. Zastosowanie skrótu adresu e-mail nie czyni danych anonimowymi.

Ochrona kupującego jest świadczona na podstawie umowy z Trusted Shops. Zaproszenia do opinii mogą być elementem zamówionych usług Trusted Shops albo być wysyłane na podstawie odrębnej zgody. Z zaproszeń można zrezygnować zgodnie z informacją w wiadomości; zgodę można też wycofać, kontaktując się z Novellą. Szczegóły danych, ról, podziału odpowiedzialności i kontakt do Trusted Shops: polityka Trusted Shops, w szczególności punkt 12.

7. Statystyka i reklama

Wykorzystujemy Google Analytics i Google Ads (Google Ireland Limited), Meta Pixel i Conversions API (Meta Platforms Ireland Limited) oraz narzędzia pomiaru reklam OpenAI (dla danych z EOG: OpenAI Ireland Limited). Narzędzia służą pomiarowi odwiedzin i zakupów, ocenie skuteczności kampanii, dopasowaniu reklam oraz tworzeniu grup odbiorców.

Zakres danych może obejmować adres strony, czas zdarzenia, informacje o przeglądarce i urządzeniu, identyfikatory cookies i kliknięć, dane kampanii, produkty, wartość i walutę zakupu. Przy dopasowywaniu zdarzeń mogą być używane także dane kontaktowe przekształcone w skróty kryptograficzne. Skrót umożliwia dopasowanie do danych platformy i nie oznacza pełnej anonimowości. Przesyłanie danych przez serwer sklepu, zamiast bezpośrednio przez przeglądarkę, nie zmienia wymogu właściwej podstawy prawnej.

Pomiar oparty na cookies statystycznych wymaga zgody statystycznej, a reklama, remarketing i dopasowanie reklamowe — zgody marketingowej. Odmowa nie blokuje złożenia zamówienia.

Google Consent Mode może przekazywać ograniczone sygnały o stanie zgody i zdarzeniach także przy odmowie, bez zapisywania cookies analitycznych lub reklamowych. Sygnały te służą obsłudze zgód i modelowaniu pomiaru. Brak cookies nie oznacza automatycznie, że w transmisji nie występują dane osobowe, np. dane połączenia sieciowego. Sama odmowa zgody nie stanowi podstawy przetwarzania danych dla analityki ani reklamy; również przesyłanie sygnałów bez cookies wymaga podstawy prawnej właściwej dla ich zakresu i celu.

Google przetwarza dane w naszym imieniu lub samodzielnie zależnie od usługi i jej funkcji. W zakresie zbierania i przekazywania danych narzędziami Meta obowiązują zasady współadministracji określone w porozumieniu z Meta; za późniejsze przetwarzanie w swoich usługach odpowiada Meta. OpenAI i Novella zasadniczo działają jako odrębni administratorzy danych pomiaru reklam.

Informacje dostawców:

Własny licznik źródeł wizyt Novelli służy ustalaniu, z jakiej strony lub kampanii nastąpiła wizyta i zakup. Posługuje się losowym identyfikatorem nvsk, informacją o źródle wejścia, kampanii, stronie i typie urządzenia. Identyfikator może być połączony z identyfikatorem gościa, klienta lub zamówienia. Jest to przetwarzanie danych pseudonimowych, a nie wyłącznie anonimowej statystyki.

Rejestrowanie nowych wizyt i przypisywanie źródeł do zakupów w tym liczniku odbywa się wyłącznie na podstawie udokumentowanej zgody statystycznej. Przy przypisaniu zakupu uwzględniamy wizyty z ostatnich 30 dni, objęte daną zgodą. Samo złożenie zamówienia, logowanie lub istnienie wcześniejszej historii nie zastępuje zgody.

Po wycofaniu zgody usuwamy cookie nvsk oraz kończymy rejestrowanie nowych wizyt i dokonywanie nowych przypisań zakupów z użyciem tego identyfikatora. Ponowne udzielenie zgody rozpoczyna pomiar z nowym identyfikatorem. Minimalny zapis udzielenia lub wycofania zgody służy udokumentowaniu i respektowaniu Twojej decyzji, a nie dalszemu zbieraniu statystyki.

8. Cookies i pamięć przeglądarki

Cookies to niewielkie informacje zapisywane w przeglądarce. Podobne funkcje mogą pełnić pamięć lokalna i sesyjna oraz identyfikatory przesyłane ze zdarzeniami.

Niezbędne pozwalają utrzymać koszyk i sesję, obsłużyć logowanie, bezpieczeństwo i wybory dotyczące prywatności. Ich użycie nie wymaga zgody, jeżeli jest konieczne do transmisji lub świadczenia funkcji zamówionej przez użytkownika.
Preferencyjne zapamiętują dodatkowe ustawienia i obsługują opcjonalne funkcje po właściwej zgodzie.
Statystyczne pomagają badać ruch i źródła zakupów po zgodzie statystycznej.
Marketingowe służą reklamie, dopasowaniu odbiorców i pomiarowi kampanii po zgodzie marketingowej.

Własne cookie nvsk służy statystyce źródeł ruchu i jest zapisywane po zgodzie statystycznej na 30 dni. Wycofanie zgody powoduje jego wcześniejsze usunięcie. Pozostałe nazwy, dostawcy, cele i okresy cookies są dostępne w panelu Cookiebot otwieranym przez link „Ustawienia cookies” w stopce sklepu. Panel rozróżnia także cookies sesyjne i zapisane na określony czas.

W tym samym panelu możesz odrzucić opcjonalne kategorie, wybrać je oddzielnie i później zmienić decyzję. Ustawiony w sklepie okres ważności wyboru dotyczącego zgód wynosi miesiąc; po jego upływie panel ponownie umożliwia dokonanie wyboru. Jest to inny okres niż przechowywanie dowodu wcześniejszej zgody. Wycofanie zgody nie zmienia legalności wcześniejszego przetwarzania opartego na zgodzie. Możesz też usunąć cookies oraz dane witryny w ustawieniach przeglądarki; samo usunięcie cookies nie usuwa dokumentów zamówienia ani danych już zgodnie z prawem zapisanych w systemach.

9. Profilowanie i decyzje automatyczne

Po zgodzie reklamowej dane o odwiedzanych stronach, produktach i zakupach mogą służyć przewidywaniu zainteresowań i doborowi reklam. Novella nie podejmuje wyłącznie automatycznych decyzji wywołujących wobec Ciebie skutki prawne lub podobnie istotnie wpływających na Twoją sytuację. Ocena wniosku o raty lub płatność odroczoną odbywa się u podmiotu finansującego, który przedstawia odrębne zasady.

Możesz wycofać zgodę na reklamę. Jeżeli dane są przetwarzane w celu marketingu bezpośredniego, przysługuje Ci także bezwarunkowy sprzeciw wobec tego celu, w tym związanego z nim profilowania.

10. Przekazywanie danych poza EOG

Korzystanie z Google, Meta, OpenAI oraz globalnej infrastruktury technicznej może wiązać się z przetwarzaniem danych poza Europejskim Obszarem Gospodarczym, w szczególności w USA. Siedziba dostawcy w UE nie wyklucza dalszego przekazania danych.

Podstawą transferu jest odpowiednia decyzja Komisji Europejskiej, w tym — wobec podmiotu objętego aktualnym wpisem i właściwym zakresem certyfikacji — EU–US Data Privacy Framework, albo standardowe klauzule umowne Komisji Europejskiej wraz z wymaganymi zabezpieczeniami. Informacje o stosowanych mechanizmach i sposób uzyskania kopii odpowiednich zabezpieczeń otrzymasz, kontaktując się z Novellą. Informacje dostawców są dostępne w odnośnikach powyżej, a dla Google także w zasadach przekazywania danych i dla Cloudflare w polityce prywatności.

11. Jak długo przechowujemy dane

Dokumentacja podatkowa i rozliczeniowa — do przedawnienia odpowiedniego zobowiązania podatkowego, co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Okres może ulec wydłużeniu w przypadkach przewidzianych prawem, np. przerwania lub zawieszenia przedawnienia.
Konto klienta — przez okres prowadzenia konta, do jego usunięcia lub rozwiązania umowy. Dane zamówień wymagane do rozliczeń, reklamacji lub roszczeń podlegają właściwym odrębnym okresom.
Korespondencja związana z zamówieniem, zwrotem i reklamacją — do zakończenia sprawy, a dalej w zakresie potrzebnym do roszczeń, do upływu ich przedawnienia. Terminy zależą od rodzaju roszczenia: co do zasady 3 lata dla roszczeń związanych z działalnością gospodarczą i 6 lat dla pozostałych, z wyjątkami ustawowymi, w tym dla sprzedaży. Nie każdy dokument ani każda informacja z wiadomości wymaga przechowywania przez najdłuższy termin. Przy sporze zachowujemy potrzebną dokumentację do jego prawomocnego zakończenia i rozliczenia.
Zwykłe pytania niezwiązane z transakcją lub sporem — do udzielenia odpowiedzi i zakończenia wyjaśnień w danej sprawie. Jeżeli korespondencja prowadzi do zamówienia lub sporu, odpowiednie wiadomości podlegają okresom dotyczącym tej transakcji lub roszczenia.
Szczegółowe dane własnej statystyki wizyt i źródeł zakupów — okres przechowywania wynosi 400 dni: dla wizyt liczymy go od ich rozpoczęcia, dla identyfikatora odwiedzającego od ostatniej wizyty, a dla przypisania źródła zamówienia od daty zamówienia. Dane, dla których okres upłynął, są usuwane podczas kolejnego cyklu automatycznego czyszczenia. Usuwanie tych danych nie usuwa zamówienia ani dokumentacji rozliczeniowej sklepu. Wycofanie zgody kończy dalsze zbieranie i nowe przypisywanie zakupów w tym celu. Dane identyfikujące usuwamy lub anonimizujemy wcześniej po skutecznym żądaniu usunięcia, jeżeli nie zachodzi odrębna podstawa dalszego przechowywania. Zestawienia rzeczywiście anonimowe mogą być przechowywane dłużej.
Dane techniczne dotyczące zgłoszonego błędu lub incydentu bezpieczeństwa — do wyjaśnienia zdarzenia, wykonania działań naprawczych i zakończenia związanej z nim sprawy. Zapisy stanowiące dowód w sporze podlegają następnie właściwym okresom dotyczącym roszczeń.
Rutynowe dzienniki serwera WWW i usług PHP — dzienniki Apache podlegają rotacji dziennej z zachowaniem 14 poprzednich plików oraz pliku bieżącego, co odpowiada około 14 dniom i bieżącemu cyklowi. Dzienniki usług PHP-FPM podlegają rotacji tygodniowej z zachowaniem 12 poprzednich plików oraz pliku bieżącego, czyli około 12 tygodni i bieżącego cyklu. Dane wydzielone do wyjaśnienia incydentu lub sporu podlegają okresom wskazanym wyżej.
Dowody zgód i sprzeciwów — przez czas korzystania ze zgody, a po jej wycofaniu lub zgłoszeniu sprzeciwu w ograniczonym zakresie do wykazania zgodności działań oraz respektowania sprzeciwu; dla obrony przed roszczeniami do upływu właściwego terminu przedawnienia.
Minimalny zapis zgody lub jej wycofania we własnym liczniku źródeł wizyt — 400 dni od późniejszej z dat: ostatniej aktualizacji zapisu albo upływu ważności powiązanego identyfikatora. Przy 30-dniowej ważności identyfikatora oznacza to zwykle do 430 dni od ostatniego udzielenia lub odnowienia zgody. Minimalna informacja o wycofaniu przypisana do sesji sklepu jest przechowywana przez 400 dni od ostatniej zmiany. Zapisy są usuwane w cyklu czyszczenia, po usunięciu powiązanej historii pomiaru. Zachowanie informacji o wycofaniu zapobiega ponownemu użyciu dawnego identyfikatora przez opóźnione żądanie techniczne. Te zapisy nie uprawniają do rejestrowania nowych wizyt ani nowych przypisań zamówień.
Dane użytkowników przechowywane w usłudze Cookiebot — zgodnie z polityką dostawcy są usuwane po 12 miesiącach od ich zarejestrowania, a po zakończeniu korzystania przez Novellę z tej usługi są usuwane niezwłocznie. Ten okres nie oznacza czasu przechowywania wszystkich dowodów zgód w odrębnych systemach Novelli.
Cookies i pamięć przeglądarki — przez okres wskazany w punkcie 8 i panelu Cookiebot, chyba że wcześniej usuniesz dane witryny.

Odrębni administratorzy, np. bank, operator płatności czy przewoźnik, stosują okresy wynikające z własnych obowiązków i polityk. Usunięcie konta w Novelli nie usuwa automatycznie danych u tych podmiotów.

12. Twoje prawa

W granicach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia danych. Możesz wycofać zgodę i wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. Wobec marketingu bezpośredniego sprzeciw nie wymaga uzasadnienia.

Napisz na [email protected]. Odpowiemy co do zasady w ciągu miesiąca. W złożonej sprawie termin może zostać przedłużony o dwa miesiące; w pierwszym miesiącu przekażemy przyczynę. Przy uzasadnionych wątpliwościach możemy poprosić o informacje potrzebne do potwierdzenia tożsamości, ograniczone do niezbędnego zakresu.

Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o złożeniu skargi znajdują się na stronie UODO.

13. Zmiany polityki

Aktualną wersję publikujemy na tej stronie. Zmiana dokumentu nie zastępuje zgody wymaganej dla nowego celu przetwarzania i nie ogranicza praw wynikających z wcześniejszych zgód lub umów. O nowych celach informujemy przed rozpoczęciem przetwarzania w tych celach.