Polityka prywatności

1. Administrator danych

Administratorem danych jest Grow Easy sp. z o.o., Orpelów-Numerki 44A, 95-082 Dobroń, NIP 7312090933, KRS 0001161127. Spółka prowadzi serwisy suplab.pl i mysuplab.com (SupLab).

Kontakt w sprawach danych: e-mail m@suplab.pl albo list na adres Orpelów-Numerki 44A, 95-082 Dobroń. Nie wyznaczyliśmy inspektora ochrony danych.

2. Zgłoszenie próbek bez konta

Dane: e-mail, imię i nazwisko, kraj i adres dostawy, telefon do kuriera, opcjonalnie nazwa firmy i numer VAT/NIP, a także źródło wejścia z linku kampanii (parametry UTM). Zapisujemy też, którą wersję regulaminu zaakceptowałeś i którą wersję tej polityki udostępniliśmy przy formularzu.

Cel: obsługa zgłoszenia, kontakt w jego sprawie oraz realizacja i rozliczenie zamówienia próbek.

• Jeśli zamawiasz we własnym imieniu (także jako przedsiębiorca będący osobą fizyczną): art. 6 ust. 1 lit. b RODO (umowa i działania przed jej zawarciem).
• Jeśli działasz w imieniu firmy (np. jako jej pracownik lub reprezentant): art. 6 ust. 1 lit. f RODO. Naszym uzasadnionym interesem jest obsługa zgłoszenia i umowy z firmą, którą reprezentujesz. Stroną umowy jest wtedy firma, nie Ty.
• Faktury i dokumenty księgowe: art. 6 ust. 1 lit. c RODO (przepisy podatkowe i o rachunkowości).
• Dowód akceptacji regulaminu i ewentualne roszczenia: art. 6 ust. 1 lit. f RODO.
• Zgłoszenie próbek nie jest zgodą na wiadomości marketingowe.
• Okres przechowywania: zgłoszenie, które nie zakończyło się płatnością, do 12 miesięcy od zgłoszenia; dokumenty księgowe 5 lat od końca roku podatkowego; dane potrzebne do roszczeń do upływu ich przedawnienia.

3. Poradnik PDF

Dane: e-mail, język, data, źródło wejścia (parametry UTM) i adres IP. Starsze formularze zbierały też opcjonalnie imię i firmę.

Cel: wysłanie poradnika na Twoje żądanie (bezpłatna usługa, art. 6 ust. 1 lit. b RODO) oraz ochrona formularza przed nadużyciami, np. limit zgłoszeń z jednego adresu IP (art. 6 ust. 1 lit. f RODO). Poradnik dostajesz bez zgody marketingowej.

Okres przechowywania: zapis o wysłaniu poradnika do 12 miesięcy; adres IP do 12 miesięcy, potem usuwamy go albo anonimizujemy.

4. Wiadomości marketingowe e-mail

Wysyłamy je tylko wtedy, gdy zaznaczysz osobne, dobrowolne pole zgody (art. 6 ust. 1 lit. a RODO oraz przepisy o komunikacji elektronicznej). Zgoda dotyczy e-maili od Grow Easy sp. z o.o. (SupLab) o produktach, ofertach i cenach.

Jako dowód zapisujemy: treść i wersję pola zgody, datę i godzinę (UTC), cel i kanał, język, źródło formularza oraz wersje polityki i regulaminu. Zapisujemy też odmowę i wycofanie.

Zgodę wycofasz w każdej chwili linkiem w wiadomości, bez logowania, albo e-mailem na adres administratora. Wycofanie działa dla adresu e-mail we wszystkich naszych zapisach i nie wpływa na zgodność z prawem wcześniejszych wysyłek.

Okres: do wycofania zgody, najdłużej 24 miesiące od dnia jej udzielenia. Po tym czasie nie wysyłamy marketingu bez nowej zgody. Dowód zgody, odmowy i wycofania przechowujemy do 3 lat od wycofania lub wygaśnięcia zgody, na wypadek roszczeń lub kontroli (art. 6 ust. 1 lit. f RODO).

5. Konto klienta, oferty pod linkiem i zamówienia

• Dane: e-mail, hasło (w postaci skrótu), imię i nazwisko, firma, NIP, adres dostawy, telefon, zamówienia, pliki etykiet, proformy i faktury, aktywność w panelu (logowania, odsłony, pobrania dokumentów).
• Cel i podstawa: prowadzenie konta i realizacja umów (art. 6 ust. 1 lit. b RODO; przy reprezentantach firm lit. f), dokumenty księgowe (lit. c), dziennik aktywności i bezpieczeństwo (lit. f).
• Okres: konto do jego usunięcia; dokumenty księgowe 5 lat od końca roku podatkowego; dziennik aktywności do 12 miesięcy.

6. Formularz kontaktowy, korespondencja i CRM

• Dane: imię, e-mail, firma, telefon (opcjonalnie), treść wiadomości i korespondencji.
• Prowadzimy system CRM (HubSpot), w którym zapisujemy kontakty, zgłoszenia próbek, pobrania poradnika oraz zgodę, odmowę lub wycofanie zgody marketingowej. Wpis w CRM nie oznacza zgody na marketing.
• Korespondencję handlową porządkuje w CRM asystent oparty na modelach AI (OpenAI). Proponuje zadania, a decyzje podejmuje człowiek.
• Podstawa: art. 6 ust. 1 lit. f RODO (odpowiedź na wiadomość i prowadzenie relacji handlowej) albo lit. b, gdy rozmowa dotyczy umowy z Tobą.
• Okres: wiadomości z formularza do 12 miesięcy od zakończenia rozmowy; kontakty w CRM bez zamówienia do 24 miesięcy od ostatniego zgłoszenia, chyba że wcześniej zgłosisz sprzeciw.

7. Cookies, pamięć przeglądarki i Meta Pixel

Niezbędne (bez zgody): sesja logowania (do 30 dni), dostęp do oferty pod linkiem, zapamiętanie języka i Twojego wyboru dotyczącego cookies (do 12 miesięcy). Nie służą reklamie ani profilowaniu.

Marketing (tylko po zgodzie): na stronie kampanii możemy użyć Meta Pixel, żeby mierzyć skuteczność reklam na Facebooku i Instagramie. Piksel ładuje się dopiero po kliknięciu „Zezwól na marketing”. Wtedy przeglądarka wysyła do Meta dane o wizycie (m.in. adres strony, zdarzenia formularzy, cookies _fbp i _fbc). Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej).

Za zbieranie i przekazanie tych danych przez piksel odpowiadamy wspólnie z Meta Platforms Ireland Ltd. Dalej Meta przetwarza je jako odrębny administrator, według własnej polityki (facebook.com/privacy/policy), w tym do personalizacji reklam.

Wybór zmienisz w każdej chwili w „Ustawieniach cookies” w stopce. Po wycofaniu natychmiast przestajemy wysyłać zdarzenia i usuwamy dostępne cookies _fbp i _fbc. Danych już przekazanych Meta nie możemy wycofać sami; w tej sprawie możesz zwrócić się do Meta.

8. Bezpieczeństwo, diagnostyka i statystyka

• Logi serwera i hostingu (adres IP, czas, adres żądania) służą bezpieczeństwu i usuwaniu awarii; przechowujemy je według ustawień dostawcy hostingu, nie dłużej niż 12 miesięcy.
• Raporty błędów (Sentry) zawierają opis błędu i adres strony bez parametrów; nie wysyłamy treści formularzy, cookies, nagłówków ani kodów z linków.
• Na pozostałych stronach serwisu możemy mierzyć ruch narzędziem PostHog (serwery w UE): bez cookies, bez nagrywania sesji, bez treści pól formularzy. Nie używamy go na stronie kampanii /creatine-gummies, w dokumentach prawnych ani na stronie rezygnacji z e-maili.
• Podstawa: art. 6 ust. 1 lit. f RODO (bezpieczeństwo i działanie serwisu).

9. Odbiorcy danych i ich role

Przekazujemy dane tylko w zakresie potrzebnym do danego celu:

• Podmioty przetwarzające na nasze zlecenie: hosting aplikacji (Vercel Inc.), baza danych (Neon Inc.), wysyłka e-maili (Resend), CRM (HubSpot), poczta firmowa (Google), faktury (Fakturownia), raporty błędów (Sentry), statystyka (PostHog), asystent korespondencji (OpenAI), biuro rachunkowe, partnerzy magazynowi i logistyczni.
• Operator płatności Stripe, tylko gdy formularz próbek pokazuje płatność online. Stripe przetwarza dane płatności częściowo jako odrębny administrator, według własnych zasad.
• Firmy kurierskie i pocztowe: jako odrębni administratorzy, w zakresie danych do doręczenia.
• Meta Platforms Ireland Ltd.: tylko po zgodzie na piksel (rola opisana w pkt 7).
• Organy publiczne, gdy wymagają tego przepisy.

10. Przekazywanie danych poza EOG

Część dostawców ma siedzibę w USA lub korzysta z serwerów poza Europejskim Obszarem Gospodarczym (np. Vercel, Neon, HubSpot, Resend, Google, Sentry, OpenAI, Meta, Stripe). Takie przekazanie może odbywać się wyłącznie na podstawie zabezpieczeń z rozdziału V RODO, np. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework, jeśli odbiorca jest certyfikowany) albo standardowych klauzul umownych.

Informację o zabezpieczeniach stosowanych wobec konkretnego odbiorcy i kopię tych zabezpieczeń otrzymasz na żądanie: m@suplab.pl.

11. Twoje prawa

Masz prawo do dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia. Możesz w każdej chwili wycofać zgodę, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

• Sprzeciw: możesz sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie (art. 21 RODO). Sprzeciw wobec marketingu bezpośredniego zawsze uwzględniamy.
• Wystarczy e-mail na m@suplab.pl albo list na adres administratora. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.
• Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa; aktualne dane kontaktowe: uodo.gov.pl/p/kontakt) albo do organu nadzorczego w kraju, w którym mieszkasz lub pracujesz.

12. Czy musisz podać dane

• Próbki: e-mail, imię i nazwisko, kraj, adres i telefon są potrzebne do obsługi zgłoszenia i doręczenia. Bez nich nie wyślemy próbek. Firma i numer VAT są opcjonalne (potrzebne, jeśli chcesz fakturę na firmę).
• Poradnik: e-mail jest potrzebny, żeby wysłać plik. Zgoda marketingowa jest dobrowolna.
• Cookies marketingowe są dobrowolne; serwis działa także bez nich.

13. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie na Ciebie wpływają (art. 22 RODO). Jeśli zgodzisz się na Meta Pixel, Meta może wykorzystać dane do profilowania reklamowego na swoich zasadach.

14. Zmiany polityki

Przy każdej zmianie aktualizujemy datę obowiązywania. Poprzednie wersje archiwizujemy i udostępniamy na żądanie.