Polityka prywatności z dn. 13.10.2026

Polityka prywatności

z dnia 13 października 2026 r.

Administratorem danych przetwarzanych w celach wskazanych w niniejszym dokumencie jest NATUBAY sp. z o.o. z siedzibą przy ul. Spółdzielców 19D, 62-510 Konin, NIP: 6671770461, KRS: 0000671480, REGON: 36713935700000 (dalej „Administrator”).

Z Administratorem można szybko i efektywnie kontaktować się w siedzibie administratora tj. adres wskazany powyżej, a także mailowo adresem: ochronadanych@natubay.pl.

W przypadku kontaktu Administrator może poprosić o dodatkowe informacje w celu weryfikacji tożsamości osoby kontaktującej się.

Niniejsza informacja dotyczy platformy primabiotic.pl (dalej „Platforma”).

Wszelkie pojęcia należy rozumieć zgodnie z Regulaminem Platformy dostępnym pod adresem: https://primabiotic.pl/regulamin/.

1. Informacje ogólne

Czym są dane osobowe? Dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Będą to zatem dane takie jak, np. imię, nazwisko, adres zamieszkania, data urodzenia, numer telefonu czy adres e-mail (lista nie jest zamknięta).

Dane osobowe przetwarzane są zgodnie z RODO tj. Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej „RODO”).

2. Poszczególne cele, podstawy i długość przetwarzania danych

Wskazane poniżej terminy przetwarzania danych należy traktować jako terminy maksymalne. Oznacza to, że jeśli dany cel zostanie zrealizowany przed upływem przewidzianego okresu retencji, Administrator usunie albo zanonimizuje dane wcześniej.

Cel przetwarzania i prawnie uzasadnione interesy	Podstawa prawna przetwarzania	Okres retencji
1) Umożliwienie korzystania z Platformy i zapewnienie jej prawidłowego działania.	Prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO) polegający na prowadzeniu Platformy.	1 rok od ostatnich odwiedzin Platformy.
2) Realizacja usługi elektronicznej zgodnie z Regulaminem.	Realizacja umowy (art. 6 ust. 1. lit. b RODO).	Przez czas trwania umowy.
3) Utrzymywanie Profilu technicznego, tj. przechowywanie danych Zamówienia i historii Zamówień przypisanych do adresu e-mail osoby, która złożyła Zamówienie bez rejestracji Konta, w celu udostępnienia ich na Koncie po jego rejestracji.	Realizacja umowy (art. 6 ust. 1 lit. b RODO) Profil techniczny jest elementem usługi elektronicznej świadczonej na podstawie Regulaminu; w odniesieniu do Profili technicznych utworzonych dla Zamówień złożonych przed 13 października 2026 r. – prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) polegający na zapewnieniu klientom dostępu do historii zakupów po rejestracji Konta	6 lat od końca roku kalendarzowego, w którym złożono ostatnie Zamówienie przypisane do danego adresu e-mail; w przypadku rejestracji Konta – przez czas trwania umowy o usługę elektroniczną.
4) Realizacja umowy sprzedaży.	Realizacja umowy (art. 6 ust. 1. lit. b RODO).	Do czasu realizacji umowy.
5) Realizacja umowy licencyjnej (dla produktu cyfrowego).	Realizacja umowy (art. 6 ust. 1. lit. b RODO).	Przez czas trwania umowy.
6) Umożliwienie zapisu do newslettera oraz jego wysyłka.	Zgoda (art. 6 ust. 1. lit. a RODO).	Do czasu wycofania zgody.
7) Realizacja obowiązków prawnych związanych z prowadzeniem dokumentacji księgowej.	Wykonanie obowiązku prawnego (art. 6 ust. 1 lit. c RODO).	Do czasu przedawnienia roszczeń publicznoprawnych (5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności zobowiązania).
8) Udzielenie odpowiedzi na zapytanie lub inne zgłoszenie przesłane przy pomocy formularza kontaktowego.	Prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO), jakim jest prowadzenie korespondencji.	Przez okres utrzymywania bieżących relacji (np. odpowiedzi na pytania, przedstawiania ofert, wymiany korespondencji), a po ustaniu relacji przez okres roku.
9) Przyjęcie i rozpatrzenie żądania, reklamacji lub oświadczenia o odstąpieniu od umowy oraz obsługa zwrotu Towaru i zwrotu płatności.	Wykonanie obowiązku prawnego (art. 6 ust. 1 lit. c RODO) , w szczególności obowiązków wynikających z ustawy o prawach konsumenta.	5 lat od momentu zakończenia odpowiadania na żądanie.
10) Analiza statystyk sprzedaży celem optymalizacji działań sprzedażowych.	Prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO) jakim jest optymalizacja działań sprzedażowych.	2 lata od dokonania zakupu.
11) Analiza preferencji klienta celem usprawniania funkcjonowania Platformy.	Zgoda (art. 6 ust. 1. lit. a RODO).	Do czasu wycofania zgody.
12) Analiza preferencji i zachowań użytkowników z wykorzystaniem narzędzi sztucznej inteligencji	Zgoda (art. 6 ust. 1. lit. a RODO).	Do czasu wycofania zgody.
13) Prowadzenie działań marketingowych.	Zgoda (art. 6 ust. 1. lit. a RODO).	Do czasu wycofania zgody.
14) Wysyłka pocztówek okolicznościowych (np. świątecznych, wakacyjnych) tradycyjną pocztą, kilka razy w roku, na adres, na który dostarczono Zamówienie.	Prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO) polegający na marketingu bezpośrednim własnych produktów i podtrzymywaniu relacji z klientami. W każdej chwili możesz wnieść sprzeciw – zob. pkt 6.	Do czasu wniesienia sprzeciwu, nie dłużej niż 2 lata od dostarczenia ostatniego Zamówienia na dany adres.
15) Publikacja opinii o zakupach i Towarach w Sklepie, na wizytówce TrustMate oraz w innych sklepach internetowych Administratora i podmiotów z nim powiązanych	Realizacja umowy (art. 6 ust. 1 lit. b RODO) w zakresie publikacji w Sklepie i na wizytówce TrustMate; prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) polegający na prezentacji opinii klientów w innych sklepach oferujących te same Towary prowadzonych przez podmioty powiązane	Do czasu usunięcia opinii przez autora, a w zakresie publikacji w innych sklepach – także do czasu wniesienia sprzeciwu.
16) Nawiązanie potencjalnej współpracy ambasadorskiej.	Prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO) polegający na rozwoju strategii marketingowych.	Czas trwania współpracy, a w przypadku negatywnego rozpatrzenia zgłoszenia – 3 miesiące od jego przesłania.
17) Ustalanie i dochodzenie roszczeń lub obrona przed nimi.	Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) polegający na możliwości ustalenia, dochodzenia lub obrony przed roszczeniami.	Do czasu przedawnienia roszczeń.

3. Kto ma dostęp do danych osobowych?

Twoje dane osobowe mogą być przekazywane wyłącznie zaufanym odbiorcom, w szczególności współpracownikom, dostawcom usług IT, podmiotom świadczącym usługi pocztowe, kurierskie lub doradztwa prawnego oraz operatorom płatności internetowych.

Dane mogą być udostępniane organom administracji publicznej na ich żądanie.

Opinie (w tym ew. załączone fotografie) wraz z imieniem autora mogą być udostępniane podmiotom powiązanym z Administratorem, prowadzącym sklepy internetowe oferujących te same towary, które publikują je w swoich sklepach jako odrębni administratorzy.

W związku z tym, że korzystamy z usług firm Google LCC, Shopify International Limited oraz Cloudflare, Inc., Twoje dane mogą być przekazywane poza Europejski Obszar Gospodarczy.
Google LCC oraz Cloudflare, Inc. są są zarejestrowane w ramach ram ochrony prywatności danych UE-USA (EU-U.S. Data Privacy Frameworks).

W dniu 10 lipca 2023 r. Komisja Europejska przyjęła decyzję (decyzja wykonawcza Komisji (UE) 2023/1795) stwierdzającą adekwatność ochrony danych dla USA w ramach EU‑U.S. Data Privacy Framework, która pozwala przekazywać dane osobowe z UE do certyfikowanych podmiotów w USA bez dodatkowych zabezpieczeń na mocy RODO. Więcej o EU-U.S. Data Privacy Frameworks przeczytasz tutaj:

● https://ec.europa.eu/commission/presscorner/detail/en/ip_23_372.

Z Shopify zawarliśmy umowę – tzw. Standardowe Klauzule Umowne. Oznacza to, że zgodnie z decyzją Komisji Europejskiej nr 2021/914 UE z dnia 4 czerwca 2021 r. Twoje dane osobowe mogą być przetwarzane przez tę firmę poza EOG. Więcej informacji o decyzji na stronie:

● https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32021D0914&from=PL.

W związku z korzystaniem z usług Shopify International Limited, Twoje dane osobowe mogą być przetwarzane przez tę firmę także w Kanadzie na mocy kanadyjskiego prawa, które Komisja Europejska uznała za zapewniające odpowiedni poziom ochrony.

Informujemy, że w związku z korzystaniem przez nas z usługi Shopify Payments w zakresie obsługi płatności na Platformie, jej dostawca Shopify International Limited będzie zbierać i przetwarzać Twoje dane w celu świadczenia ww. usługi.

4. Logowanie przez usługi zewnętrzne

Jeżeli wybierzesz logowanie do Konta przez konto Google albo Facebook, uwierzytelnienie odbywa się w serwisie dostawcy tej usługi, który jest odrębnym administratorem danych przetwarzanych w tym procesie, na zasadach określonych w jego polityce prywatności. Administrator otrzymuje wówczas od dostawcy usługi zewnętrznej Twoje dane potrzebne do rejestracji albo zalogowania. Przy logowaniu adresem e-mail Administrator przesyła na ten adres jednorazowy kod logowania.

5. Zwroty

Obsługę zwrotów Towaru prowadzimy we współpracy z InPost sp. z o.o. z siedzibą w Krakowie (30-727), ul. Pana Tadeusza 4. Jeżeli złożysz oświadczenie o odstąpieniu od umowy przez serwis Szybkie Zwroty, dane podane w formularzu (imię, nazwisko, numer telefonu, adres e-mail, numer Zamówienia, powód zwrotu) zbiera InPost jako operator serwisu i przekazuje je Administratorowi w celu obsługi zwrotu. InPost jest odrębnym administratorem tych danych w zakresie świadczenia własnych usług, w tym nadania przesyłki oraz własnych działań marketingowych, na które możesz odrębnie wyrazić zgodę w formularzu. Zasady przetwarzania danych przez InPost określa jego polityka prywatności.

6. Zewnętrzne linki

W Platformie mogą pojawiać się linki do innych stron internetowych. Takie strony internetowe działają niezależnie od Administratora i nie są w żaden sposób nadzorowane przez Administratora. Strony te mogą posiadać własne polityki dotyczące prywatności oraz regulaminy, z którymi zalecamy się zapoznać.

W razie wątpliwości co któregokolwiek z zapisów niniejszej Polityki prywatności jesteśmy do Państwa dyspozycji – nasze dane znaleźć można w zakładce kontakt.

7. Sztuczna inteligencja i zautomatyzowane przetwarzanie danych

W celu usprawnienia funkcjonowania Sklepu oraz optymalizacji procesów sprzedażowych, Administrator korzysta z narzędzi wspieranych przez sztuczną inteligencję, w tym z asystenta Shopify Sidekick.

Narzędzia te mogą analizować szeroki zakres informacji zawartych w szczegółach Twoich zamówień, w tym w szczególności: imię i nazwisko, adres e-mail, adres dostawy, wybraną metodę płatności i dostawy, listę zakupionych produktów oraz treść zapytań kierowanych do obsługi Sklepu.

Administrator wykorzystuje powyższe technologie do:

● inteligentnej analizy danych sprzedażowych i trendów rynkowych w celu lepszego dopasowania asortymentu;

● optymalizacji procesów logistycznych i operacyjnych wewnątrz panelu administracyjnego Sklepu;

● wsparcia procesów obsługi Klienta (np. szybsza analiza historii zamówień w celu udzielenia odpowiedzi na zapytanie).

Administrator zapewnia, że systemy AI pełnią wyłącznie rolę pomocniczą. Zgodnie z deklaracjami dostawcy (Shopify), procesy te nie mają charakteru w pełni zautomatyzowanego podejmowania decyzji o skutkach prawnych dla Ciebie. Ostateczna weryfikacja i decyzja w sprawach dotyczących realizacji Twoich praw lub zamówień zawsze należy do pracownika Sklepu.

Dane przekazywane do modeli AI są przetwarzane w ramach bezpiecznej infrastruktury Shopify i podmiotów współpracujących. Administrator monitoruje warunki świadczenia usług przez dostawców narzędzi AI, aby zapewnić, że przetwarzanie odbywa się z poszanowaniem zasad poufności i bezpieczeństwa danych osobowych wymaganych przez RODO.

8. Jakie przysługują Ci prawa wobec przetwarzania Twoich danych osobowych?

Przysługuje Ci prawo:

● dostępu do danych, w tym uzyskania kopii danych,

● przenoszenia danych,

● sprostowania danych,

● usunięcia danych,

● ograniczenia przetwarzania,

● wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (Moniuszki 1A, 00-014 Warszawa),

● wycofania zgody.

Zgoda może zostać wycofana w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Aby wycofać zgodę, należy przesłać odpowiednią prośbę na adres e-mail: marketing@natubay.pl lub kliknąć w link umieszczony w przesyłanych przez nas wiadomościach.

Prawo sprzeciwu

Za każdym razem, gdy dane osobowe będą przetwarzane na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO), możesz w dowolnym momencie wnieść sprzeciw. Sprzeciw możesz zgłosić, wykorzystując dane kontowe wskazane na wstępie niniejszej Polityki prywatności.

Sprzeciw wobec marketingu bezpośredniego

Jeżeli przetwarzamy Twoje dane na potrzeby marketingu bezpośredniego, w tym wysyłki pocztówek okolicznościowych (pkt 14 tabeli), sprzeciw nie wymaga uzasadnienia i zawsze go uwzględnimy – po jego wniesieniu nie wyślemy kolejnych pocztówek. Do wysyłki pocztówek wykorzystujemy wyłącznie Twoje imię oraz adres dostawy ostatniego Zamówienia dostarczonego pod wskazany przez Ciebie adres; nie wykorzystujemy adresów automatów paczkowych ani punktów odbioru. Pocztówka nie zawiera informacji o Twoich zakupach. Sprzeciw możesz zgłosić na adres marketing@natubay.pl lub korzystając z danych kontaktowych wskazanych na wstępie. Po wniesieniu sprzeciwu zachowamy Twoje dane w zakresie niezbędnym do jego respektowania.

Aby dowiedzieć się więcej na temat przysługujących Ci praw, przeczytaj ulotkę dostępną na pod adresem: https://www.gov.pl/web/cyfryzacja/rodo-informator.

9. Jak możesz nam zgłosić chęć realizacji swoich praw?

Swoje prawa możesz realizować osobiście w siedzibie Administratora, drogą korespondencji pocztowej lub mailowej (dane kontaktowe administratora podane na wstępie).

W odpowiedzi na zgłoszone żądanie możesz zostać poproszony o podanie danych niezbędnych do identyfikacji danych osobowych (m.in. ich odszukania) lub zweryfikowania Twojej tożsamości (potwierdzenia, że jesteś osobą, za którą się podajesz).

10.Jakie kategorie danych przetwarzamy?

Administrator przetwarza wyłącznie dane zwykłe.

Nie przetwarzamy szczególnych kategorii danych, tj. informacji, które mogłyby ujawnić: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, a także danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej.

11.Skąd Administrator pozyskuje dane?

Co do zasady, Administrator pozyskuje dane bezpośrednio od Ciebie. Gdy pozyskamy dane z innego źródła, zostaniesz o tym odrębnie i wyraźnie poinformowany/a.

Dane pozyskujemy także od dostawcy usługi logowania zewnętrznego (Google, Facebook) – gdy wybierzesz taki sposób logowania – oraz od InPost sp. z o.o., gdy złożysz oświadczenie o odstąpieniu od umowy w serwisie Szybkie Zwroty.

12.Czy podanie danych jest dobrowolne?

Podanie danych jest co do zasady dobrowolne. Zawsze, gdy podanie danych będzie:

● dobrowolne, ale niezbędne do realizacji określonych celów (np. kontaktu mailowego przez formularz online) lub

● obligatoryjne (np. będzie wynikało z przepisów prawa)

zostaniesz o tym odrębnie i wyraźnie poinformowany/a (np. na formularzu, poprzez który zbierane będą dane osobowe).

Podanie adresu e-mail jest niezbędne do złożenia Zamówienia oraz do rejestracji i logowania do Konta.

13.Zmiany w niniejszej Polityce prywatności

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszym dokumencie, które może wywołać rozwój technologii internetowej, czy ewentualne zmiany prawa w zakresie ochrony danych osobowych. O wszelkich zmianach będziemy informować w sposób widoczny i zrozumiały poprzez Platformę.