Polityka prywatności

Polityka prywatności i informacja RODO sklepu Bubu Performance Parts. Aktualizacja: 19.09.2026 r.

Niniejsza Polityka opisuje, jak przetwarzamy dane osobowe osób korzystających ze sklepu bubuparts.pl, zgodnie z rozporządzeniem (UE) 2016/679 (RODO).

1. Administrator danych

Administratorem danych osobowych jest Rafał Barzycki, prowadzący działalność gospodarczą pod nazwą „Bubu Performance Parts", ul. Zorzy 30B/9, 04-639 Warszawa, NIP 9522125047. Kontakt w sprawie danych: e-mail [email protected], telefon +48 571 511 021. Nie wyznaczyliśmy inspektora ochrony danych.

2. Jakie dane przetwarzamy

Sklep działa bez zakładania kont — zamówienia składasz jako gość. Nie zbieramy danych logowania ani profili użytkowników. Przetwarzamy następujące kategorie danych:

dane zamówienia: imię i nazwisko, adres dostawy, adres e-mail, numer telefonu, a w przypadku faktury — nazwa firmy, adres i NIP,
dane transakcji: numer zamówienia, zamówione produkty, kwota; samej płatności dokonujesz u operatora płatności (nie przechowujemy danych karty),
dane korespondencji: treść zapytań kierowanych do nas e-mailem lub telefonicznie,
adres e-mail podany w formularzu „Powiadom mnie o starcie sprzedaży" — jeśli z niego skorzystasz (patrz też pkt 3),
dane techniczne: adres IP oraz dane niezbędne do zabezpieczenia strony przed nadużyciami (mechanizm antyspamowy).

3. Cele, podstawy prawne i okres przechowywania

Realizacja zamówienia i umowy — art. 6 ust. 1 lit. b RODO. Dane przechowujemy przez czas realizacji umowy oraz okres przedawnienia roszczeń.
Wystawienie i przechowywanie dokumentów księgowych — art. 6 ust. 1 lit. c RODO. Dokumenty przechowujemy przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku podatkowego).
Rozpatrywanie reklamacji i odstąpień od umowy — art. 6 ust. 1 lit. c oraz lit. b RODO. Dane przechowujemy do czasu zakończenia postępowania i upływu terminów wynikających z przepisów.
Obsługa zapytań i kontaktu — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — udzielenie odpowiedzi), a gdy zapytanie zmierza do zawarcia umowy — lit. b.
Powiadomienie o starcie sprzedaży („Powiadom mnie") — art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w spełnieniu Twojej dobrowolnej prośby o kontakt). Adres e-mail i miejsce zapisu przechowujemy przez 30 dni od zapisu, po czym są automatycznie usuwane — niezależnie od tego, czy zdążyliśmy wysłać powiadomienie.
Dochodzenie lub obrona roszczeń — art. 6 ust. 1 lit. f RODO. Dane przechowujemy do upływu terminów przedawnienia.
Bezpieczeństwo strony i zapobieganie nadużyciom — art. 6 ust. 1 lit. f RODO.

4. Odbiorcy danych

Podmioty przetwarzające dane na nasze zlecenie (na podstawie umów powierzenia, art. 28 RODO), w zakresie niezbędnym do realizacji powyższych celów:

dostawca hostingu i poczty — Microsoft (Microsoft Azure oraz Azure Communication Services),
ochrona przed botami/spamem — Cloudflare, Inc. (Turnstile),
analityka odwiedzin — Google Analytics 4 (Google Ireland Limited / Google LLC), wyłącznie po udzieleniu zgody na cookie analityczne — patrz pkt 11,
biuro rachunkowe obsługujące rozliczenia (jeżeli dotyczy).

Odrębni administratorzy — podmioty, którym udostępniamy dane, bo jest to niezbędne do wykonania zawartej z Tobą umowy (art. 6 ust. 1 lit. b RODO). Każdy z nich przetwarza dane na własnych zasadach i odpowiada za nie samodzielnie:

dostawcy (hurtownie i producenci), którzy wysyłają zamówiony Towar bezpośrednio do Ciebie (model dropshipping) — w zakresie imienia i nazwiska, adresu dostawy lub kodu punktu odbioru, numeru telefonu, a gdy wymaga tego przewoźnik — adresu e-mail; dane te nie są wykorzystywane przez dostawców do marketingu,
przewoźnicy i operatorzy pocztowi doręczający przesyłki — InPost sp. z o.o. (kurier i Paczkomaty) oraz przewoźnicy, z których korzystają dostawcy (np. kurierzy paletowi FedEx, Raben),
operatorzy płatności — mBank S.A. (Paynow) oraz Autopay S.A. (płatności kartą).

Na Twoje żądanie wskażemy konkretnego dostawcę lub przewoźnika, który otrzymał Twoje dane przy danym zamówieniu.

Dane mogą być także udostępnione organom publicznym, jeżeli wynika to z obowiązujących przepisów. NIP podany do faktury jest weryfikowany w publicznym wykazie podatników VAT prowadzonym przez Ministerstwo Finansów — zapytanie wysyła Twoja przeglądarka bezpośrednio do serwisu Ministerstwa.

5. Newsletter

Jeśli zapiszesz się na newsletter, przetwarzamy Twoje dane w następującym zakresie:

Cel — wysyłka cotygodniowego newslettera „Tygodniowe Promocje" oraz jednorazowego kodu rabatowego na start, wysyłanego po potwierdzeniu zapisu.
Podstawa prawna — Twoja zgoda (art. 6 ust. 1 lit. a RODO w związku z art. 398 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej).
Zakres danych — adres e-mail, wybrany język komunikacji, data zapisu i data potwierdzenia zapisu (zapis wymaga potwierdzenia linkiem w wiadomości e-mail — tzw. double opt-in), status zapisu oraz kod rabatowy wydany po potwierdzeniu.
Okres przechowywania — do czasu wypisania się z newslettera; po wypisaniu Twój rekord subskrybenta jest usuwany. Skrót kryptograficzny (HMAC) Twojego adresu e-mail zachowujemy jednak także po wypisaniu — wyłącznie po to, by zapobiec wielokrotnemu pobraniu jednorazowego kodu powitalnego na ten sam adres; podstawą prawną tego elementu przetwarzania jest nasz prawnie uzasadniony interes w zapobieganiu nadużyciom (art. 6 ust. 1 lit. f RODO). Ten skrót oraz data wydania kodu powitalnego są przechowywane przez 3 lata od dnia wydania kodu, po czym są usuwane (a nowy zapis na ten sam adres może ponownie otrzymać kod powitalny).
Odbiorca — wiadomości newslettera wysyłamy za pośrednictwem Microsoft Azure Communication Services (patrz też pkt 4).
Profilowanie — nie profilujemy odbiorców newslettera: w danej edycji każdy potwierdzony subskrybent otrzymuje tę samą treść, różniącą się wyłącznie językiem wiadomości.

Zgodę na newsletter możesz wycofać w każdej chwili — klikając link „Wypisz się" w każdej wiadomości albo pisząc na [email protected]. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

6. Opinie o produktach

Po zrealizowanym zamówieniu możesz ocenić kupiony produkt, korzystając z indywidualnego linku przesłanego w wiadomości e-mail z potwierdzeniem zamówienia.

Zakres danych — ocena (1–5), treść opinii oraz opcjonalny podpis (imię/pseudonim — jeśli go nie podasz, publikujemy jako „Klient") i data wystawienia opinii. Adresu e-mail nie publikujemy; w naszej bazie służy on wyłącznie, w postaci skrótu kryptograficznego, do wymuszenia zasady „jedna opinia na produkt na osobę".
Podstawa prawna — Twoja zgoda wyrażona przez przesłanie opinii (art. 6 ust. 1 lit. a RODO); w zakresie weryfikacji, że opinia pochodzi od faktycznego nabywcy — nasz prawnie uzasadniony interes w rzetelności publikowanych ocen (art. 6 ust. 1 lit. f RODO).
Publikacja — opinia trafia na stronę produktu dopiero po naszym zatwierdzeniu (moderacja); odrzucona opinia jest trwale usuwana z naszej bazy.
Weryfikacja, że opinia pochodzi od kupującego — link do wystawienia opinii jest indywidualny dla każdej pozycji zamówienia, przesyłany wyłącznie na adres e-mail podany przy tym zamówieniu, i pozwala ocenić wyłącznie faktycznie kupiony produkt; jedna osoba może ocenić dany produkt tylko raz.
Okres przechowywania — zatwierdzone opinie przechowujemy tak długo, jak oferujemy dany produkt w sklepie, chyba że wcześniej skorzystasz z prawa do usunięcia (pkt 8).

7. Przekazywanie danych poza EOG

Co do zasady dane przetwarzane są w Europejskim Obszarze Gospodarczym (EOG); usługi hostingu konfigurujemy w regionie europejskim. Niektórzy dostawcy (np. Cloudflare, Microsoft) mogą przetwarzać dane także poza EOG — w takim przypadku odbywa się to na podstawie odpowiednich zabezpieczeń, w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

8. Twoje prawa

prawo dostępu do danych oraz uzyskania ich kopii,
prawo do sprostowania, usunięcia lub ograniczenia przetwarzania,
prawo do przenoszenia danych,
prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
prawo do cofnięcia zgody — w zakresie, w jakim przetwarzanie odbywa się na podstawie zgody (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem),
prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Aby skorzystać z praw, skontaktuj się z nami pod adresem [email protected].

9. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do zawarcia i realizacji umowy (złożenia i obsługi zamówienia) oraz do wystawienia dokumentu sprzedaży. Niepodanie danych uniemożliwi realizację zamówienia.

10. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

11. Pliki cookies, pamięć przeglądarki i zgoda

Sklep korzysta z Google Analytics 4 (Google Ireland Limited, a dla przetwarzania poza EOG — Google LLC) do analizy statystyk odwiedzin i sposobu korzystania ze sklepu (liczba odwiedzin, popularne strony, źródło ruchu, orientacyjna szybkość działania strony). W tym celu — wyłącznie po udzieleniu zgody — zapisywane są pliki cookie: _ga (identyfikator przeglądarki, ważność ok. 2 lata) oraz _ga_<identyfikator> (stan bieżącej sesji pomiarowej, ważność ok. 2 lata). Adres IP jest anonimizowany (parametr anonymize_ip), a adresy stron zawierające tajny token zamówienia lub oceny (parametr ?token=...) są przed wysyłką pozbawiane parametrów zapytania, więc taki token nigdy nie trafia do Google.

Podstawą prawną przetwarzania w Google Analytics 4 jest Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej). Zgodę zbieramy za pomocą banera cookies, który pojawia się przy pierwszej wizycie i daje dwa równorzędne wybory: „Akceptuję" (włącza cookie analityczne) albo „Tylko niezbędne" (cookie analityczne pozostają wyłączone, a jeśli już wcześniej je zapisano — usuwamy _ga/_ga_* zarówno dla domeny, jak i dla jej wersji z kropką). Technicznie stosujemy Google Consent Mode v2: domyślnie cała analityka jest zablokowana (denied) i włącza się dopiero po Twojej decyzji. Zgodę możesz cofnąć w dowolnym momencie — link „Ustawienia cookies" w stopce strony otwiera baner ponownie.

Fakt wyrażenia (lub odmowy) zgody na cookie analityczne zapisujemy dodatkowo po stronie serwera — jako dowód zgody na wypadek kontroli (obowiązek rozliczalności, art. 5 ust. 2 i art. 7 ust. 1 RODO; podstawa prawna zapisu — art. 6 ust. 1 lit. c RODO). Rekord zawiera wyłącznie: losowy identyfikator zdarzenia, jakie kategorie zgody przyznano (niezbędne albo niezbędne+analityczne), znacznik czasu nadany przez nasz serwer, wersję niniejszego punktu obowiązującą w chwili decyzji oraz Twój adres IP w formie przyciętej (ostatni oktet IPv4 / końcówka IPv6 wyzerowane — ta sama granulacja, co anonymize_ip opisany wyżej). Rekord nie zawiera żadnego identyfikatora dającego się powiązać z Tobą osobiście (brak e-maila, konta czy cookie identyfikującego) i przechowujemy go tak długo, jak może być potrzebny do wykazania zgodności z prawem — analogicznie do pkt 3 („Dochodzenie lub obrona roszczeń").

Niezależnie od zgody na analitykę używamy pamięci przeglądarki (localStorage) w celach ściśle funkcjonalnych — do zapamiętania wybranego języka, motywu, zawartości koszyka oraz, dla Twojej wygody, danych wpisanych w formularzu zamówienia (zapisywanych lokalnie, na Twoim urządzeniu); mechanizm ochrony przed botami (Cloudflare Turnstile) może zapisywać niezbędne dane techniczne wymagane do działania zabezpieczenia. Ta pamięć NIE wymaga zgody — jest objęta wyjątkiem z art. 399 ustawy — Prawo komunikacji elektronicznej (cel ściśle niezbędny do świadczenia usługi, o którą prosisz). Google może przetwarzać dane w ramach Google Analytics poza EOG (Google LLC, USA) na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską — patrz też pkt 7. Cookies i pamięcią możesz zawsze zarządzać też bezpośrednio w ustawieniach swojej przeglądarki.

12. Zmiany polityki

Politykę możemy aktualizować w razie zmiany przepisów lub sposobu działania sklepu. Aktualna wersja jest zawsze dostępna na tej stronie.

Privacy Policy

This Policy describes how we process the personal data of people using the bubuparts.pl store, in accordance with Regulation (EU) 2016/679 (GDPR).

1. Data controller

The data controller is Rafał Barzycki, sole proprietor trading as „Bubu Performance Parts", ul. Zorzy 30B/9, 04-639 Warszawa, Poland, VAT ID (NIP) 9522125047. Data contact: e-mail [email protected], phone +48 571 511 021. We have not appointed a data protection officer.

2. What data we process

The store works without user accounts — you order as a guest. We do not collect login data or user profiles. We process the following categories of data:

order data: name, delivery address, e-mail, phone number, and for an invoice — company name, address and VAT ID,
transaction data: order number, ordered products, amount; the payment itself is made at the payment provider (we do not store card data),
correspondence data: the content of enquiries you send us by e-mail or phone,
the e-mail address you give in the "Notify me when sales open" form — if you use it (see also point 3),
technical data: IP address and data needed to protect the site against abuse (anti-spam mechanism).

3. Purposes, legal bases and retention

Order and contract performance — Art. 6(1)(b) GDPR. Kept for the duration of the contract and the limitation period for claims.
Issuing and keeping accounting documents — Art. 6(1)(c) GDPR. Kept for the period required by tax law (as a rule 5 years from the end of the tax year).
Handling complaints and withdrawals — Art. 6(1)(c) and (b) GDPR. Kept until the matter is closed and statutory deadlines pass.
Handling enquiries and contact — Art. 6(1)(f) GDPR (legitimate interest — responding), or (b) where the enquiry aims at concluding a contract.
Notifying you when sales open ("Notify me") — Art. 6(1)(f) GDPR (our legitimate interest in fulfilling your own voluntary request). We keep the e-mail address and its sign-up source for 30 days from sign-up, after which they are automatically deleted — regardless of whether we managed to send the notification.
Establishing or defending claims — Art. 6(1)(f) GDPR. Kept until limitation periods expire.
Site security and abuse prevention — Art. 6(1)(f) GDPR.

4. Recipients

Processors acting on our behalf (under data processing agreements, Art. 28 GDPR), to the extent necessary for the above purposes:

hosting and e-mail provider — Microsoft (Microsoft Azure and Azure Communication Services),
bot/spam protection — Cloudflare, Inc. (Turnstile),
visit analytics — Google Analytics 4 (Google Ireland Limited / Google LLC), only once you have consented to analytics cookies — see point 11,
the accounting office handling settlements (where applicable).

Independent controllers — entities to which we disclose data because this is necessary to perform our contract with you (Art. 6(1)(b) GDPR). Each of them processes the data under its own rules and is responsible for it:

suppliers (wholesalers and manufacturers) who ship the ordered Goods directly to you (dropshipping) — name, delivery address or pick-up point code, phone number and, where the carrier requires it, e-mail address; suppliers do not use these data for marketing,
carriers and postal operators delivering parcels — InPost sp. z o.o. (courier and parcel lockers) and carriers used by our suppliers (e.g. FedEx and Raben pallet couriers),
payment providers — mBank S.A. (Paynow) and Autopay S.A. (card payments).

On request, we will tell you which supplier or carrier received your data for a given order.

Data may also be disclosed to public authorities where required by law. A VAT ID provided for an invoice is checked against the public VAT taxpayer list of the Polish Ministry of Finance — the query is sent by your browser directly to the Ministry's service.

5. Newsletter

If you sign up for the newsletter, we process your data as follows:

Purpose — sending the weekly "Weekly Deals" newsletter and a one-time welcome discount code, sent once you confirm your sign-up.
Legal basis — your consent (Art. 6(1)(a) GDPR in conjunction with Art. 398 of the Act of 12 July 2024 — Electronic Communications Law).
Scope of data — e-mail address, chosen communication language, sign-up date and confirmation date (sign-up requires confirming a link sent by e-mail — so-called double opt-in), subscription status, and the discount code issued after confirmation.
Retention — until you unsubscribe; once you unsubscribe, your subscriber record is deleted. We do, however, keep a cryptographic hash (HMAC) of your e-mail address even after you unsubscribe — solely to prevent the same address from claiming the one-time welcome code more than once; the legal basis for this element is our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR). This hash and the welcome code's issue date are kept for 3 years from the date the code was issued, after which they are deleted (and a fresh sign-up with the same address may receive a welcome code again).
Recipient — we send newsletter messages through Microsoft Azure Communication Services (see also point 4).
Profiling — we do not profile newsletter recipients: in a given edition every confirmed subscriber receives the same content, differing only by the message language.

You can withdraw your newsletter consent at any time — via the "Unsubscribe" link in every message, or by writing to [email protected]. Withdrawing consent does not affect the lawfulness of processing carried out before the withdrawal.

6. Product reviews

After your order is completed, you can rate the product you bought using a personal link sent in the order confirmation e-mail.

Scope of data — the rating (1–5), the review text, and an optional signature (name/nickname — if you don't provide one, we publish it as "Klient"/"Customer") and the review date. We do not publish your e-mail address; in our database it is used only, in hashed form, to enforce the "one review per product per person" rule.
Legal basis — your consent given by submitting the review (Art. 6(1)(a) GDPR); as regards verifying that the review comes from an actual buyer — our legitimate interest in the reliability of published ratings (Art. 6(1)(f) GDPR).
Publication — a review appears on the product page only after we approve it (moderation); a declined review is permanently deleted from our database.
Verifying the review comes from a buyer — the review link is personal to each order line, sent only to the e-mail address given for that order, and lets you rate only the product you actually bought; one person can review a given product only once.
Retention — we keep approved reviews for as long as we offer the product in the store, unless you exercise your right to erasure earlier (point 8).

7. Transfers outside the EEA

As a rule, data is processed within the European Economic Area (EEA); we configure hosting in a European region. Some providers (e.g. Cloudflare, Microsoft) may process data outside the EEA — in that case on the basis of appropriate safeguards, in particular the standard contractual clauses approved by the European Commission.

8. Your rights

the right of access to your data and a copy of it,
the right to rectification, erasure or restriction of processing,
the right to data portability,
the right to object to processing based on legitimate interest,
the right to withdraw consent — where processing is based on consent (without affecting prior lawful processing),
the right to lodge a complaint with the President of the Personal Data Protection Office (ul. Stawki 2, 00-193 Warszawa, Poland).

To exercise your rights, contact us at [email protected].

9. Is providing data mandatory?

Providing data is voluntary but necessary to conclude and perform the contract (to place and handle an order) and to issue a sales document. Not providing the data makes order fulfilment impossible.

10. Automated decisions and profiling

We do not make decisions about you based solely on automated processing, including profiling, that would produce legal effects or similarly significantly affect you.

11. Cookies, browser storage and consent

The store uses Google Analytics 4 (Google Ireland Limited, and Google LLC for processing outside the EEA) to analyse visit statistics and how the store is used (visit counts, popular pages, traffic source, approximate site speed). For this purpose — only once you have given consent — the following cookies are set: _ga (browser identifier, lifetime ~2 years) and _ga_<container-id> (current measurement-session state, lifetime ~2 years). The IP address is anonymised (anonymize_ip), and page URLs carrying a secret order/review token (the ?token=... parameter) have their query string stripped before being sent, so that token never reaches Google.

The legal basis for processing in Google Analytics 4 is your consent (Art. 6(1)(a) GDPR and Art. 399 of the Polish Electronic Communications Law). We collect consent through a cookie banner that appears on your first visit and offers two equally weighted choices: "Accept" (turns analytics cookies on) or "Essential only" (analytics cookies stay off, and if they were already set, we delete _ga/_ga_* for both the domain and its dotted parent). Technically we use Google Consent Mode v2: all analytics is denied by default and only turns on after your decision. You can withdraw consent at any time — the "Cookie settings" link in the footer reopens the banner.

We additionally record, server-side, the fact that you granted (or refused) consent to analytics cookies — as proof of consent in case of an audit (accountability duty, Art. 5(2) and Art. 7(1) GDPR; legal basis for this record — Art. 6(1)(c) GDPR). The record contains only: a random event id, which consent categories were granted (necessary only, or necessary+analytics), a timestamp set by our server, the version of this point in effect at the time of the decision, and your IP address in truncated form (last IPv4 octet / IPv6 tail zeroed — the same granularity as anonymize_ip described above). The record carries no identifier that could be linked back to you personally (no e-mail, account or identifying cookie), and we keep it for as long as it may be needed to demonstrate lawful consent — the same way as point 3 ("Establishing or defending claims").

Regardless of analytics consent, we use browser storage (localStorage) for strictly functional purposes — to remember your chosen language, theme, cart contents and, for your convenience, the details you enter in the order form (stored locally, on your device); the bot-protection mechanism (Cloudflare Turnstile) may store technical data necessary for the safeguard to work. This storage does NOT require consent — it falls under the exemption in Art. 399 of the Polish Electronic Communications Law (a purpose strictly necessary to provide the service you requested). Google may process data within Google Analytics outside the EEA (Google LLC, USA) on the basis of standard contractual clauses approved by the European Commission — see also point 7. You can always manage cookies and storage directly in your browser settings, too.

12. Changes to this policy

We may update this Policy if the law or the way the store operates changes. The current version is always available on this page.