Polityka prywatności

Polityka prywatności i informacja RODO sklepu BubuParts. Aktualizacja: 25 października 2026 r.

Niniejsza Polityka opisuje, jak przetwarzamy dane osobowe osób korzystających ze sklepu internetowego BubuParts, dostępnego pod adresami bubuparts.pl i bubuparts.eu, zgodnie z rozporządzeniem (UE) 2016/679 (RODO).

1. Administrator danych

Administratorem danych osobowych jest Aleksandra Barzycka, prowadząca działalność gospodarczą pod firmą „Aleksandra Barzycka BubuParts”, ul. Zorzy 30B/9, 04-639 Warszawa, NIP 9522289398. Kontakt w sprawie danych: e-mail kontakt@bubuparts.pl, telefon +48 571 511 021. Nie wyznaczyliśmy inspektora ochrony danych.

2. Jakie dane przetwarzamy

Zamówienia możesz składać jako gość albo po zalogowaniu do Konta; Konto jest dobrowolne. Przetwarzamy następujące kategorie danych:

• dane zamówienia: imię i nazwisko, adres dostawy, adres e-mail, numer telefonu, a w przypadku faktury — nazwa firmy, adres i NIP,
• dane transakcji: numer zamówienia, zamówione produkty, kwota; samej płatności dokonujesz u operatora płatności (nie przechowujemy danych karty),
• dane korespondencji: treść zapytań kierowanych do nas e-mailem lub telefonicznie,
• adres e-mail podany w formularzu „Powiadom mnie o starcie sprzedaży” — formularz jest dostępny tylko wtedy, gdy sprzedaż jest czasowo wstrzymana, i jeśli z niego skorzystasz (patrz też pkt 3),
• dane techniczne: adres IP oraz dane niezbędne do zabezpieczenia strony przed nadużyciami (mechanizm antyspamowy),
• dane logowania, jeśli założysz Konto: identyfikator użytkownika nadany przez Google (przy logowaniu jednorazowym kodem — sam adres e-mail, na który wysyłamy kod), adres e-mail i informacja, czy dostawca logowania potwierdził ten adres (od Google także domena organizacji, jeśli konto należy do organizacji); nie pobieramy zdjęcia profilowego, imienia z profilu, listy znajomych ani tokenów dostępu do Twojego konta Google,
• dane Konta, które sam podajesz: imię, nazwisko, numer telefonu, zapisane adresy dostawy i paczkomaty, dane firmy do faktury (nazwa i NIP), typ Konta (osobiste lub firmowe), wybrany język oraz dane o akceptacji Regulaminu i Polityki (wersja i czas),
• dane o aktywności w Koncie: historia zamówień przypisanych do Konta, wartość Zakupów, Poziom w Programie Stage, Twoje opinie oraz dane sesji logowania (skrót identyfikatora sesji, czas logowania i ostatniej aktywności, dostawca logowania, skrót informacji o przeglądarce),
• skrót kryptograficzny (HMAC) adresu e-mail z zamówienia, który pozwala przypisać do Konta zamówienia złożone wcześniej jako gość (patrz pkt 3).

Dane logowania pozyskujemy od Google Ireland Limited, gdy logujesz się kontem Google (źródło danych, art. 14 RODO); przy logowaniu jednorazowym kodem adres e-mail podajesz Ty. Pozostałe dane Konta również podajesz Ty.

3. Cele, podstawy prawne i okres przechowywania

• Realizacja zamówienia i umowy — art. 6 ust. 1 lit. b RODO. Dane przechowujemy przez czas realizacji umowy oraz okres przedawnienia roszczeń.
• Wystawienie i przechowywanie dokumentów księgowych — art. 6 ust. 1 lit. c RODO. Dokumenty przechowujemy przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku podatkowego).
• Rozpatrywanie reklamacji i odstąpień od umowy — art. 6 ust. 1 lit. c oraz lit. b RODO. Dane przechowujemy do czasu zakończenia postępowania i upływu terminów wynikających z przepisów.
• Obsługa zapytań i kontaktu — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — udzielenie odpowiedzi), a gdy zapytanie zmierza do zawarcia umowy — lit. b.
• Powiadomienie o starcie sprzedaży („Powiadom mnie”) — art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w spełnieniu Twojej dobrowolnej prośby o kontakt). Adres e-mail i miejsce zapisu przechowujemy przez 30 dni od zapisu, po czym są automatycznie usuwane — niezależnie od tego, czy zdążyliśmy wysłać powiadomienie.
• Dochodzenie lub obrona roszczeń — art. 6 ust. 1 lit. f RODO. Dane przechowujemy do upływu terminów przedawnienia.
• Ślad zmian koszyka — przy zamówieniu zapisujemy krótki dziennik zmian koszyka z Twojej przeglądarki (produkt, ilość po zmianie, miejsce kliknięcia, czas; bez danych osobowych), aby wyjaśnić ewentualny spór o zawartość zamówienia — art. 6 ust. 1 lit. f RODO. Przechowujemy go razem z danymi zamówienia. Dziennik leży lokalnie w przeglądarce i trafia do nas wyłącznie wraz ze złożonym zamówieniem.
• Bezpieczeństwo strony i zapobieganie nadużyciom — art. 6 ust. 1 lit. f RODO.
• Potwierdzenie przeznaczenia części do sportu motorowego — jeżeli koszyk zawiera część przeznaczoną wyłącznie do użytku poza drogami publicznymi, zapisujemy przy zamówieniu Twoje potwierdzenie (treść, datę i godzinę) — art. 6 ust. 1 lit. b i c RODO (zawarcie umowy i obowiązek wykazania, że poinformowaliśmy Cię o cechach Towaru, art. 43b ust. 4 ustawy o prawach konsumenta). Przechowujemy je razem z danymi zamówienia.
• Oświadczenie o odstąpieniu od umowy złożone przez funkcję „Odstąp od umowy” — przetwarzamy dane z oświadczenia i wysyłamy potwierdzenie jego otrzymania — art. 6 ust. 1 lit. c RODO. Przechowujemy je do upływu terminów przedawnienia roszczeń z umowy.
• Prowadzenie Konta i Programu Stage (logowanie, panel Konta, historia zamówień, zapisane adresy i dane do faktury, ustalanie Poziomu na podstawie Zakupów i ceny dla Poziomu) — art. 6 ust. 1 lit. b RODO. Zapisujemy też wersję i czas akceptacji Regulaminu oraz Polityki, aby wykazać podstawę prowadzenia Konta. Dane Konta przechowujemy do jego usunięcia; Konto, w którym przez 24 miesiące nie było logowania ani zamówienia, usuwamy, uprzedzając o tym e-mailem na 30 dni wcześniej (jeśli znamy adres e-mail).
• Bezpieczeństwo logowania i zapobieganie nadużyciom w Koncie (sesje, ograniczanie liczby zapytań, wykrywanie automatycznego pobierania cen) — art. 6 ust. 1 lit. f RODO. Sesja wygasa po 30 dniach bez aktywności, a najpóźniej po 90 dniach od zalogowania; ciasteczka przebiegu logowania działają 10 i 15 minut.
• Przypisanie do Konta zamówień złożonych jako gość — art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w tym, by klient mógł znaleźć w Koncie swoje wcześniejsze zamówienia). Przechowujemy skrót (HMAC) adresu e-mail z zamówienia przez 24 miesiące od zamówienia; skrót zamówień nieopłaconych usuwamy razem z tym zamówieniem. Skrót służy wyłącznie do tego przypisania.

4. Odbiorcy danych

Podmioty przetwarzające dane na nasze zlecenie (na podstawie umów powierzenia, art. 28 RODO), w zakresie niezbędnym do realizacji powyższych celów:

• dostawca hostingu i poczty — Microsoft (Microsoft Azure oraz Azure Communication Services),
• ochrona przed botami/spamem — Cloudflare, Inc. (Turnstile),
• analityka odwiedzin — Google Analytics 4 (Google Ireland Limited / Google LLC), wyłącznie po udzieleniu zgody na cookie analityczne — patrz pkt 11,
• biuro rachunkowe lub inny podmiot obsługujący księgowość Sprzedawcy — w zakresie dokumentów księgowych i sprzedaży.

Odrębni administratorzy — podmioty, którym udostępniamy dane, bo jest to niezbędne do wykonania zawartej z Tobą umowy (art. 6 ust. 1 lit. b RODO). Każdy z nich przetwarza dane na własnych zasadach i odpowiada za nie samodzielnie:

• przewoźnicy i operatorzy pocztowi doręczający przesyłki — InPost sp. z o.o. (kurier i Paczkomaty) oraz przewoźnicy, z których korzystają dostawcy (np. kurierzy paletowi FedEx, Raben),
• operatorzy płatności — mBank S.A. (Paynow) oraz Autopay S.A. (płatności kartą).

Dostawcy logowania. Gdy logujesz się kontem Google, Google Ireland Limited przetwarza Twoje dane w zakresie uwierzytelnienia jako odrębny administrator, według własnej polityki prywatności; wie przy tym, że logujesz się do naszego Sklepu. Strony Sklepu nie ładują skryptów ani przycisków Google — kontakt z jego serwisami następuje dopiero po kliknięciu przycisku logowania. Dane, które od Google otrzymujemy, opisuje pkt 2.

Dostawcy realizujący wysyłkę bezpośrednio (dropshipping). Dostawcy (hurtownie i producenci), którzy wysyłają zamówiony Towar bezpośrednio do Ciebie, otrzymują imię i nazwisko, adres dostawy lub kod punktu odbioru, numer telefonu oraz — gdy wymaga tego przewoźnik — adres e-mail, w celu wysyłki zamówienia (art. 6 ust. 1 lit. b RODO). Dostawca, z którym zawarliśmy umowę powierzenia przetwarzania danych, przetwarza dane jako podmiot przetwarzający; pozostali dostawcy przetwarzają je jako odrębni administratorzy, na zasadach własnej polityki prywatności. Dane te nie są wykorzystywane do marketingu. Na Twoje żądanie wskażemy konkretnego dostawcę lub przewoźnika, który otrzymał Twoje dane przy danym zamówieniu.

Dane mogą być także udostępnione organom publicznym, jeżeli wynika to z obowiązujących przepisów. NIP podany do faktury jest weryfikowany w publicznym wykazie podatników VAT prowadzonym przez Ministerstwo Finansów — zapytanie wysyła Twoja przeglądarka bezpośrednio do serwisu Ministerstwa.

5. Newsletter (zakończony)

Newsletter został zakończony: nie przyjmujemy zapisów i nie wysyłamy wiadomości. Jeśli Twój adres był zapisany, przechowujemy dane z zapisu (adres e-mail, wybrany język, daty zapisu i potwierdzenia, treść zgody) wyłącznie do obsługi wypisania i żądań dotyczących zapisu, do czasu wypisania się albo usunięcia przez nas rekordów zakończonego newslettera (podstawa: Twoja zgoda, art. 6 ust. 1 lit. a RODO w związku z art. 398 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej). Po wypisaniu rekord jest usuwany. Zachowujemy wówczas tylko skrót kryptograficzny (HMAC) adresu e-mail oraz datę wydania wcześniej wydanego kodu rabatowego, na 3 lata od wydania kodu — po to, by zapobiec jego wielokrotnemu wykorzystaniu (nasz prawnie uzasadniony interes w zapobieganiu nadużyciom, art. 6 ust. 1 lit. f RODO); potem są usuwane.

Zgodę możesz wycofać w każdej chwili, pisząc na kontakt@bubuparts.pl. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

6. Opinie o produktach

Opinię o kupionym produkcie możesz wystawić po zalogowaniu do Konta, jeśli ten produkt został kupiony i opłacony w zamówieniu przypisanym do Twojego Konta (zasady opisuje § 11a Regulaminu).

• Zakres danych — ocena (1–5), treść opinii, opcjonalny podpis (jeśli go nie podasz, publikujemy jako „Klient”; imienia z Google nie kopiujemy) i data wystawienia opinii. Przy opinii zapisujemy też numer zamówienia i identyfikator Konta, które nie są widoczne publicznie. Adresu e-mail nie publikujemy.
• Podstawa prawna — Twoja zgoda wyrażona przez przesłanie opinii (art. 6 ust. 1 lit. a RODO); w zakresie weryfikacji, że opinia pochodzi od faktycznego nabywcy, i jej sprawdzenia przed publikacją — nasz prawnie uzasadniony interes w rzetelności publikowanych ocen (art. 6 ust. 1 lit. f RODO).
• Publikacja — opinię sprawdzamy przed publikacją wyłącznie pod kątem treści bezprawnych lub obraźliwych, danych osób trzecich, treści niezwiązanych z produktem oraz spamu; publikujemy ją najpóźniej po 7 dniach, chyba że wcześniej ją odrzucimy z jednego z tych powodów. O odrzuceniu informujemy autora, podając powód, i możesz się odwołać; odrzucona opinia jest usuwana.
• Weryfikacja, że opinia pochodzi od kupującego — opinię może wystawić tylko zalogowany klient, który opłacił dany produkt w zamówieniu przypisanym do swojego Konta; jedno Konto może ocenić dany produkt tylko raz. Zwrot produktu nie usuwa opinii.
• Okres przechowywania — zatwierdzone opinie przechowujemy tak długo, jak oferujemy dany produkt w sklepie, albo do usunięcia Konta (usunięcie Konta usuwa Twoje opinie). Statystyki moderacji (miesiąc, ocena, powód odrzucenia) są anonimowe i nie pozwalają zidentyfikować autora.

7. Przekazywanie danych poza EOG

Co do zasady dane przetwarzane są w Europejskim Obszarze Gospodarczym (EOG); usługi hostingu konfigurujemy w regionie europejskim. Niektórzy dostawcy (np. Cloudflare, Microsoft) mogą przetwarzać dane także poza EOG — w takim przypadku odbywa się to na podstawie odpowiednich zabezpieczeń, w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Google LLC i Microsoft Corporation uczestniczą w programie EU-US Data Privacy Framework (decyzja Komisji (UE) 2023/1795); tam, gdzie program nie ma zastosowania, podstawą są standardowe klauzule umowne. Przy logowaniu kontem Google dane mogą być przetwarzane przez ten podmiot także poza EOG (np. w USA), jako odrębnego administratora, na zasadach opisanych w jego polityce prywatności.

8. Twoje prawa

• prawo dostępu do danych oraz uzyskania ich kopii,
• prawo do sprostowania, usunięcia lub ograniczenia przetwarzania,
• prawo do przenoszenia danych,
• prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• prawo do cofnięcia zgody — w zakresie, w jakim przetwarzanie odbywa się na podstawie zgody (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem),
• prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Aby skorzystać z praw, skontaktuj się z nami pod adresem kontakt@bubuparts.pl. Dane Konta możesz sprostować sam, edytując je w Koncie; Konto możesz też usunąć samodzielnie (pkt 8a).

8a. Jak usunąć Konto

• W panelu Konta — zakładka „Logowanie i prywatność”, przycisk „Usuń konto” (wymaga zalogowania w ciągu ostatnich 10 minut).
• Wnioskiem e-mail — napisz na kontakt@bubuparts.pl. Zanim usuniemy Konto lub wydamy kopię danych, potwierdzimy Twoją tożsamość: przez zalogowanie albo przez numer zamówienia i adres e-mail z zamówienia.

Usuwamy Konto, dane profilu, powiązanie tożsamości z Google, sesje oraz Twoje opinie. Zamówienia i dokumenty sprzedaży zachowujemy w zakresie wymaganym przepisami (pkt 3), usuwając z zamówień powiązanie z Kontem. Usunięcie Konta oznacza utratę Poziomu i stanu Zakupów.

9. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do zawarcia i realizacji umowy (złożenia i obsługi zamówienia) oraz do wystawienia dokumentu sprzedaży. Niepodanie danych uniemożliwi realizację zamówienia. Założenie Konta jest dobrowolne: bez Konta możesz kupować jako gość; podanie danych Konta jest potrzebne do jego prowadzenia.

10. Zautomatyzowane decyzje i profilowanie

Cena zależy od Poziomu Twojego Konta (Stage), przydzielanego automatycznie na podstawie wartości Twoich dotychczasowych zakupów w Sklepie, i od produktu. Skutkiem tego zautomatyzowanego ustalania ceny jest cena widoczna przy produkcie po zalogowaniu; każdy może kupić ten sam produkt po cenie standardowej bez Konta. Sprzedawca może też ręcznie przypisać Kontu wyższy Poziom (§ 4b Regulaminu).

Nie podejmujemy wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Poziom nie służy do marketingu.

11. Pliki cookies, pamięć przeglądarki i zgoda

Sklep korzysta z Google Analytics 4 (Google Ireland Limited, a dla przetwarzania poza EOG — Google LLC) do analizy statystyk odwiedzin i sposobu korzystania ze sklepu (liczba odwiedzin, popularne strony, źródło ruchu, orientacyjna szybkość działania strony). W tym celu — wyłącznie po udzieleniu zgody — zapisywane są pliki cookie: _ga (identyfikator przeglądarki, ważność ok. 2 lat) oraz _ga_<identyfikator> (stan bieżącej sesji pomiarowej, ważność ok. 2 lat). Adres IP jest anonimizowany (parametr anonymize_ip), a adresy stron zawierające tajny token zamówienia lub oceny (parametr ?token=...) są przed wysyłką pozbawiane parametrów zapytania, więc taki token nigdy nie trafia do Google.

Podstawą prawną przetwarzania w Google Analytics 4 jest Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej). Zgodę zbieramy za pomocą banera cookies, który pojawia się przy pierwszej wizycie i daje dwa równorzędne wybory: „Akceptuję” (włącza cookie analityczne) albo „Tylko niezbędne” (cookie analityczne pozostają wyłączone, a jeśli już wcześniej je zapisano — usuwamy _ga/_ga_* zarówno dla domeny, jak i dla jej wersji z kropką). Technicznie stosujemy Google Consent Mode v2: domyślnie cała analityka jest zablokowana (denied) i włącza się dopiero po Twojej decyzji. Zgodę możesz cofnąć w dowolnym momencie — link „Ustawienia cookies” w stopce strony otwiera baner ponownie.

Fakt wyrażenia (lub odmowy) zgody na cookie analityczne zapisujemy dodatkowo po stronie serwera — jako dowód zgody na wypadek kontroli (obowiązek rozliczalności, art. 5 ust. 2 i art. 7 ust. 1 RODO; podstawa prawna zapisu — art. 6 ust. 1 lit. c RODO). Rekord zawiera wyłącznie: losowy identyfikator zdarzenia, jakie kategorie zgody przyznano (niezbędne albo niezbędne+analityczne), znacznik czasu nadany przez nasz serwer, wersję niniejszego punktu obowiązującą w chwili decyzji oraz Twój adres IP w formie przyciętej (ostatni oktet IPv4 / końcówka IPv6 wyzerowane — ta sama granulacja, co anonymize_ip opisany wyżej). Rekord nie zawiera żadnego identyfikatora dającego się powiązać z Tobą osobiście (brak e-maila, konta czy cookie identyfikującego) i przechowujemy go tak długo, jak może być potrzebny do wykazania zgodności z prawem — analogicznie do pkt 3 („Dochodzenie lub obrona roszczeń”).

Po zalogowaniu używamy ciasteczek ściśle niezbędnych, które nie wymagają zgody (art. 399 ustawy — Prawo komunikacji elektronicznej): __Host-bp_sess (sesja zalogowanego, niedostępne dla skryptów strony; wygasa po 30 dniach bez aktywności, najpóźniej po 90 dniach), __Host-bp_oauth (ochrona przebiegu logowania, 10 minut), __Host-bp_reg (dokończenie zakładania Konta, 15 minut) oraz __Host-bp_li (informacja dla strony, że jesteś zalogowany; bez danych osobowych, na czas sesji). Na bubuparts.pl i bubuparts.eu logujesz się osobno, do tego samego Konta. Skrypty Google nie ładują się na stronach Sklepu przed kliknięciem przycisku logowania.

Niezależnie od zgody na analitykę używamy pamięci przeglądarki (localStorage) w celach ściśle funkcjonalnych — do zapamiętania wybranego języka, motywu, zawartości koszyka (wraz z krótkim dziennikiem jego zmian, wysyłanym do nas tylko ze złożonym zamówieniem) oraz, dla Twojej wygody, danych wpisanych w formularzu zamówienia (zapisywanych lokalnie, na Twoim urządzeniu; po zalogowaniu do Konta nie zapisujemy tam danych osobowych); mechanizm ochrony przed botami (Cloudflare Turnstile) może zapisywać niezbędne dane techniczne wymagane do działania zabezpieczenia. Ta pamięć NIE wymaga zgody — jest objęta wyjątkiem z art. 399 ustawy — Prawo komunikacji elektronicznej (cel ściśle niezbędny do świadczenia usługi, o którą prosisz). Google może przetwarzać dane w ramach Google Analytics poza EOG (Google LLC, USA) na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską — patrz też pkt 7. Cookies i pamięcią możesz zawsze zarządzać też bezpośrednio w ustawieniach swojej przeglądarki.

12. Zmiany polityki

Politykę możemy aktualizować w razie zmiany przepisów lub sposobu działania sklepu. Aktualna wersja jest zawsze dostępna na tej stronie.

Privacy Policy

Privacy policy and GDPR notice of the BubuParts store. Updated: 25 October 2026.

This Policy describes how we process the personal data of people using the BubuParts online store, available at bubuparts.pl and bubuparts.eu, in accordance with Regulation (EU) 2016/679 (GDPR).

1. Data controller

The data controller is Aleksandra Barzycka, sole proprietor trading as “Aleksandra Barzycka BubuParts”, ul. Zorzy 30B/9, 04-639 Warsaw, Poland, VAT ID (NIP) 9522289398. Data contact: e-mail kontakt@bubuparts.pl, phone +48 571 511 021. We have not appointed a data protection officer.

2. What data we process

You can order as a guest or after signing in to an Account; the Account is voluntary. We process the following categories of data:

• order data: name, delivery address, e-mail, phone number, and for an invoice — company name, address and VAT ID,
• transaction data: order number, ordered products, amount; the payment itself is made at the payment provider (we do not store card data),
• correspondence data: the content of enquiries you send us by e-mail or phone,
• the e-mail address you give in the “Notify me when sales open” form — the form is available only while sales are temporarily suspended, and only if you use it (see also point 3),
• technical data: IP address and data needed to protect the site against abuse (anti-spam mechanism),
• sign-in data, if you create an Account: the user identifier assigned by Google (when you sign in by one-time code, only the e-mail address to which we send the code), the e-mail address and whether the sign-in provider has confirmed that address (from Google also the organisation domain, if the account belongs to an organisation); we do not collect your profile photo, profile name, friends list or access tokens to your Google account,
• Account data you enter yourself: first and last name, phone number, saved delivery addresses and parcel lockers, company details for invoices (name and VAT ID), Account type (personal or business), chosen language, and records of acceptance of the Terms and the Policy (version and time),
• Account activity data: order history assigned to the Account, the Purchases balance, your Level in the Stage Programme, your reviews, and sign-in session data (a hash of the session identifier, sign-in and last-activity times, the sign-in provider, a hash of browser information),
• a cryptographic hash (HMAC) of the e-mail address from an order, which lets us assign orders placed earlier as a guest to the Account (see point 3).

We obtain sign-in data from Google Ireland Limited when you sign in with a Google account (source of data, Art. 14 GDPR); when you sign in by one-time code, you give us the e-mail address yourself. You also provide the other Account data yourself.

3. Purposes, legal bases and retention

• Order and contract performance — Art. 6(1)(b) GDPR. Kept for the duration of the contract and the limitation period for claims.
• Issuing and keeping accounting documents — Art. 6(1)(c) GDPR. Kept for the period required by tax law (as a rule 5 years from the end of the tax year).
• Handling complaints and withdrawals — Art. 6(1)(c) and (b) GDPR. Kept until the matter is closed and statutory deadlines pass.
• Handling enquiries and contact — Art. 6(1)(f) GDPR (legitimate interest — responding), or (b) where the enquiry aims at concluding a contract.
• Notifying you when sales open ("Notify me") — Art. 6(1)(f) GDPR (our legitimate interest in fulfilling your own voluntary request). We keep the e-mail address and its sign-up source for 30 days from sign-up, after which they are automatically deleted — regardless of whether we managed to send the notification.
• Establishing or defending claims — Art. 6(1)(f) GDPR. Kept until limitation periods expire.
• Cart-change trail — with an order we store a short log of cart changes from your browser (product, quantity after the change, where it was clicked, time; no personal data) to clarify any dispute about the contents of the order — Art. 6(1)(f) GDPR. We keep it together with the order data. The log lives locally in your browser and reaches us only together with a placed order.
• Site security and abuse prevention — Art. 6(1)(f) GDPR.
• Confirmation of the motorsport-only purpose of a part — if your cart contains a part intended solely for use off public roads, we record your confirmation (its wording, date and time) with the order — Art. 6(1)(b) and (c) GDPR (entering into the contract and our obligation to show that we informed you about the characteristics of the Goods, Art. 43b(4) of the Polish Consumer Rights Act of 30 May 2014 (ustawa o prawach konsumenta)). We keep it together with the order data.
• Withdrawal notice submitted via the “Withdraw from contract” function — we process the data in the notice and send you an acknowledgement of receipt — Art. 6(1)(c) GDPR. We keep it until the limitation periods for contractual claims expire.
• Running the Account and the Stage Programme (sign-in, Account panel, order history, saved addresses and invoice details, determining the Level from Purchases and the price for the Level) — Art. 6(1)(b) GDPR. We also record the version and time of acceptance of the Terms and the Policy, to show the basis for running the Account. We keep Account data until the Account is deleted; an Account with no sign-in and no order for 24 months is deleted, and we give 30 days' notice by e-mail (if we know the e-mail address).
• Sign-in security and abuse prevention in the Account (sessions, request rate limits, detecting automated price downloading) — Art. 6(1)(f) GDPR. A session expires after 30 days without activity and at the latest 90 days after sign-in; the sign-in flow cookies last 10 and 15 minutes.
• Assigning orders placed as a guest to the Account — Art. 6(1)(f) GDPR (our legitimate interest in letting a customer find earlier orders in the Account). We keep a hash (HMAC) of the order e-mail address for 24 months from the order; the hash for unpaid orders is deleted together with that order. The hash is used solely for this assignment.

4. Recipients

Processors acting on our behalf (under data processing agreements, Art. 28 GDPR), to the extent necessary for the above purposes:

• hosting and e-mail provider — Microsoft (Microsoft Azure and Azure Communication Services),
• bot/spam protection — Cloudflare, Inc. (Turnstile),
• visit analytics — Google Analytics 4 (Google Ireland Limited / Google LLC), only once you have consented to analytics cookies — see point 11,
• an accounting office or other entity handling the Seller’s bookkeeping — as regards accounting and sales documents.

Independent controllers — entities to which we disclose data because this is necessary to perform our contract with you (Art. 6(1)(b) GDPR). Each of them processes the data under its own rules and is responsible for it:

• carriers and postal operators delivering parcels — InPost sp. z o.o. (courier and parcel lockers) and carriers used by our suppliers (e.g. FedEx and Raben pallet couriers),
• payment providers — mBank S.A. (Paynow) and Autopay S.A. (card payments).

Sign-in providers. When you sign in with a Google account, Google Ireland Limited processes your data for authentication as an independent controller, under its own privacy policy; Google knows that you are signing in to our Store. Store pages do not load Google scripts or buttons — contact with its services happens only after you click the sign-in button. The data we receive from Google is described in point 2.

Suppliers shipping directly (dropshipping). Suppliers (wholesalers and manufacturers) who ship the ordered Goods directly to you receive your name, delivery address or pick-up point code, phone number and, where the carrier requires it, e-mail address, in order to ship the order (Art. 6(1)(b) GDPR). A supplier with which we have concluded a data processing agreement acts as a processor; the other suppliers act as independent controllers under their own privacy policies. These data are not used for marketing. On request, we will tell you which supplier or carrier received your data for a given order.

Data may also be disclosed to public authorities where required by law. A VAT ID provided for an invoice is checked against the public VAT taxpayer list of the Polish Ministry of Finance — the query is sent by your browser directly to the Ministry's service.

5. Newsletter (discontinued)

The newsletter has been discontinued: we accept no sign-ups and send no messages. If your address was subscribed, we keep the sign-up data (e-mail address, chosen language, sign-up and confirmation dates, the wording of the consent) solely to handle unsubscribes and requests concerning the subscription, until you unsubscribe or we delete the records of the discontinued newsletter (legal basis: your consent, Art. 6(1)(a) GDPR in conjunction with Art. 398 of the Act of 12 July 2024 — Electronic Communications Law, Prawo komunikacji elektronicznej). Once you unsubscribe, the record is deleted. We then keep only a cryptographic hash (HMAC) of your e-mail address and the issue date of a discount code issued earlier, for 3 years from the date of issue — to prevent that code from being used more than once (our legitimate interest in preventing abuse, Art. 6(1)(f) GDPR); after that they are deleted.

You can withdraw your consent at any time by writing to kontakt@bubuparts.pl. Withdrawing consent does not affect the lawfulness of processing carried out before the withdrawal.

6. Product reviews

You can review a product you bought after signing in to your Account, if you bought and paid for that product in an order assigned to your Account (the rules are set out in § 11a of the Terms).

• Scope of data — the rating (1–5), the review text, an optional signature (if you don't provide one, we publish it as "Customer"; we do not copy your name from Google) and the review date. With a review we also record the order number and the Account identifier, which are not publicly visible. We do not publish your e-mail address.
• Legal basis — your consent given by submitting the review (Art. 6(1)(a) GDPR); as regards verifying that the review comes from an actual buyer and checking it before publication — our legitimate interest in the reliability of published ratings (Art. 6(1)(f) GDPR).
• Publication — before publication we check a review only for unlawful or offensive content, third-party data, content unrelated to the product, and spam; we publish it no later than 7 days later unless we reject it earlier for one of those reasons. We tell the author of a rejection, giving the reason, and you can appeal; a rejected review is deleted.
• Verifying the review comes from a buyer — only a signed-in customer who paid for the product in an order assigned to their Account can review it; one Account can review a given product only once. Returning the product does not remove the review.
• Retention — we keep approved reviews for as long as we offer the product in the store, or until the Account is deleted (deleting the Account deletes your reviews). Moderation statistics (month, rating, rejection reason) are anonymous and do not identify the author.

7. Transfers outside the EEA

As a rule, data is processed within the European Economic Area (EEA); we configure hosting in a European region. Some providers (e.g. Cloudflare, Microsoft) may process data outside the EEA — in that case on the basis of appropriate safeguards, in particular the standard contractual clauses approved by the European Commission. Google LLC and Microsoft Corporation participate in the EU-US Data Privacy Framework (Commission Decision (EU) 2023/1795); where it does not apply, standard contractual clauses are used. When you sign in with a Google account, that entity may also process data outside the EEA (e.g. in the USA), as an independent controller, under the rules set out in its privacy policy.

8. Your rights

• the right of access to your data and a copy of it,
• the right to rectification, erasure or restriction of processing,
• the right to data portability,
• the right to object to processing based on legitimate interest,
• the right to withdraw consent — where processing is based on consent (without affecting prior lawful processing),
• the right to lodge a complaint with the President of the Personal Data Protection Office (Urząd Ochrony Danych Osobowych, UODO; ul. Stawki 2, 00-193 Warsaw, Poland).

To exercise your rights, contact us at kontakt@bubuparts.pl. You can rectify Account data yourself by editing it in the Account; you can also delete the Account yourself (point 8a).

8a. How to delete your Account

• In the Account panel — the “Sign-in and privacy” tab, the “Delete account” button (requires you to have signed in within the last 10 minutes).
• By e-mail request — write to kontakt@bubuparts.pl. Before we delete the Account or issue a copy of the data, we will confirm your identity: by signing in, or by the order number and the e-mail address from the order.

We delete the Account, the profile data, the link between the identity and Google, sessions and your reviews. We keep orders and sales documents to the extent required by law (point 3), removing the link to the Account from the orders. Deleting the Account means losing the Level and the Purchases balance.

9. Is providing data mandatory?

Providing data is voluntary but necessary to conclude and perform the contract (to place and handle an order) and to issue a sales document. Not providing the data makes order fulfilment impossible. Creating an Account is voluntary: without an Account you can buy as a guest; Account data is needed to run the Account.

10. Automated decisions and profiling

The price depends on the Level of your Account (Stage), assigned automatically based on the value of your purchases so far in the Store, and on the product. The result of this automated price setting is the price shown next to a product after you sign in; anyone can buy the same product at the standard price without an Account. The Seller may also assign an Account a higher Level manually (§ 4b of the Terms).

We do not make decisions about you based solely on automated processing, including profiling, that would produce legal effects or similarly significantly affect you (Art. 22 GDPR). The Level is not used for marketing.

11. Cookies, browser storage and consent

The store uses Google Analytics 4 (Google Ireland Limited, and Google LLC for processing outside the EEA) to analyse visit statistics and how the store is used (visit counts, popular pages, traffic source, approximate site speed). For this purpose — only once you have given consent — the following cookies are set: _ga (browser identifier, lifetime ~2 years) and _ga_<container-id> (current measurement-session state, lifetime ~2 years). The IP address is anonymised (anonymize_ip), and page URLs carrying a secret order/review token (the ?token=... parameter) have their query string stripped before being sent, so that token never reaches Google.

The legal basis for processing in Google Analytics 4 is your consent (Art. 6(1)(a) GDPR and Art. 399 of the Polish Electronic Communications Law). We collect consent through a cookie banner that appears on your first visit and offers two equally weighted choices: "Accept" (turns analytics cookies on) or "Essential only" (analytics cookies stay off, and if they were already set, we delete _ga/_ga_* for both the domain and its dotted parent). Technically we use Google Consent Mode v2: all analytics is denied by default and only turns on after your decision. You can withdraw consent at any time — the "Cookie settings" link in the footer reopens the banner.

We additionally record, server-side, the fact that you granted (or refused) consent to analytics cookies — as proof of consent in case of an audit (accountability duty, Art. 5(2) and Art. 7(1) GDPR; legal basis for this record — Art. 6(1)(c) GDPR). The record contains only: a random event id, which consent categories were granted (necessary only, or necessary+analytics), a timestamp set by our server, the version of this point in effect at the time of the decision, and your IP address in truncated form (last IPv4 octet / IPv6 tail zeroed — the same granularity as anonymize_ip described above). The record carries no identifier that could be linked back to you personally (no e-mail, account or identifying cookie), and we keep it for as long as it may be needed to demonstrate lawful consent — the same way as point 3 ("Establishing or defending claims").

After you sign in we use strictly necessary cookies, which do not require consent (Art. 399 of the Polish Electronic Communications Law): __Host-bp_sess (the signed-in session, not readable by page scripts; it expires after 30 days without activity and at the latest after 90 days), __Host-bp_oauth (protection of the sign-in flow, 10 minutes), __Host-bp_reg (completing Account creation, 15 minutes) and __Host-bp_li (a hint to the page that you are signed in; no personal data, for the duration of the session). You sign in separately on bubuparts.pl and bubuparts.eu, to the same Account. Google scripts do not load on Store pages before you click the sign-in button.

Regardless of analytics consent, we use browser storage (localStorage) for strictly functional purposes — to remember your chosen language, theme, cart contents (with a short log of its changes, sent to us only with a placed order) and, for your convenience, the details you enter in the order form (stored locally, on your device; after you sign in to an Account we do not store personal data there); the bot-protection mechanism (Cloudflare Turnstile) may store technical data necessary for the safeguard to work. This storage does NOT require consent — it falls under the exemption in Art. 399 of the Polish Electronic Communications Law (a purpose strictly necessary to provide the service you requested). Google may process data within Google Analytics outside the EEA (Google LLC, USA) on the basis of standard contractual clauses approved by the European Commission — see also point 7. You can always manage cookies and storage directly in your browser settings, too.

12. Changes to this policy

We may update this Policy if the law or the way the store operates changes. The current version is always available on this page.