Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Brenval Health Sp. z o.o. z siedzibą przy ul. Długiej 44, 80-001 Gdańsk, NIP: 5831848304, KRS: 0000848304. W sprawach dotyczących danych osobowych można kontaktować się pod adresem [email protected] lub telefonicznie pod numerem +48 58 384 73 04 w godzinach 9:00–17:00 od poniedziałku do piątku.

Ze względu na skalę działalności Brenval nie powołał odrębnego inspektora ochrony danych, jednak funkcję punktu kontaktowego w sprawach RODO pełni dział obsługi klienta, który przekazuje zgłoszenia do osoby odpowiedzialnej za zgodność przetwarzania danych. Sytuacja ta jest okresowo weryfikowana i w razie przekroczenia progów określonych w art. 37 RODO, na przykład znacznego wzrostu skali przetwarzania danych, spółka rozważy powołanie inspektora ochrony danych.

2. Zakres zbieranych danych

W związku ze złożeniem zamówienia telefonicznego lub przez formularz na stronie Brenval przetwarza: imię i nazwisko, numer telefonu, adres dostawy oraz — jeżeli zostaną podane dobrowolnie — adres e-mail i uwagi do zamówienia. Dodatkowo serwis zbiera dane techniczne, takie jak adres IP, typ urządzenia i przeglądarki. Dane dotyczące płatności nie są przetwarzane przez Brenval w formie elektronicznej, ponieważ rozliczenie następuje bezpośrednio z kurierem w momencie dostawy.

• a) dane podawane w formularzu zamówienia: imię, nazwisko, telefon, adres;
• b) dane podawane w formularzu kontaktowym lub w wiadomości e-mail: adres e-mail, treść zapytania;
• c) dane zbierane automatycznie: adres IP, dane o urządzeniu, identyfikatory plików cookie opisane w Polityce cookies.

3. Podstawy prawne i cele przetwarzania

Dane są przetwarzane na podstawie art. 6 ust. 1 lit. b RODO w celu realizacji zamówienia i dostawy za pobraniem, na podstawie art. 6 ust. 1 lit. c RODO w celu wypełnienia obowiązków podatkowych i księgowych, oraz na podstawie art. 6 ust. 1 lit. f RODO w celu obsługi zgłoszeń, ustalenia lub obrony przed roszczeniami oraz zapewnienia bezpieczeństwa serwisu.

W przypadku wyrażenia dodatkowej, odrębnej zgody dane mogą być przetwarzane również w celu przesyłania informacji o dostępności produktu — podstawą jest wówczas art. 6 ust. 1 lit. a RODO, a zgoda może być wycofana w każdym momencie bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Wycofanie zgody można zgłosić mailowo na adres [email protected], a Brenval zaprzestaje wysyłki takich informacji nie później niż w ciągu 3 dni roboczych od zgłoszenia.

4. Okres przechowywania danych

Dane związane z realizacją zamówienia są przechowywane przez okres 6 lat od zakończenia roku, w którym doszło do transakcji, ze względu na terminy przedawnienia roszczeń oraz obowiązki podatkowe wynikające z ustawy o rachunkowości. Dane osób, które skontaktowały się z Brenval, ale nie złożyły zamówienia, są przechowywane przez 12 miesięcy od ostatniego kontaktu. Po upływie wskazanych okresów dane są usuwane z systemów Brenval lub poddawane anonimizacji, uniemożliwiającej dalszą identyfikację osoby.

• a) dokumentacja sprzedażowa i księgowa: 6 lat;
• b) korespondencja e-mail bez finalizacji zamówienia: 12 miesięcy;
• c) zapisy techniczne serwera (logi): przechowywane przez dokładnie 90 dni od dnia zapisania danego wpisu, licząc od daty jego utworzenia, po czym są automatycznie usuwane lub nieodwracalnie anonimizowane przez dostawcę hostingu.

5. Odbiorcy danych

Dane osobowe mogą być przekazywane podmiotom współpracującym z Brenval w zakresie niezbędnym do realizacji zamówienia, w tym firmie kurierskiej realizującej dostawę za pobraniem, dostawcy hostingu utrzymującemu infrastrukturę serwisu oraz biuru rachunkowemu obsługującemu rozliczenia podatkowe. Każdy z tych podmiotów przetwarza dane na podstawie umowy powierzenia przetwarzania danych i wyłącznie w zakresie wskazanym przez Brenval. W uzasadnionych przypadkach dane mogą być również przekazane organom publicznym, jeżeli obowiązek taki wynika z obowiązujących przepisów prawa.

• a) dostawa za pobraniem — realizowana w zależności od regionu przez firmy kurierskie działające na terenie Polski, takie jak InPost, DPD Polska lub DHL Parcel Polska;
• b) hosting i infrastruktura techniczna — dostawca usług serwerowych z siedzibą i centrami danych na terenie Unii Europejskiej;
• c) obsługa księgowa — biuro rachunkowe rozliczające podatki i dokumentację sprzedażową spółki.

Brenval nie sprzedaje danych osobowych podmiotom trzecim i nie wykorzystuje ich do celów niezwiązanych z realizacją zamówień oraz obowiązkami prawnymi opisanymi w niniejszej polityce.

6. Prawa osób, których dane dotyczą

Każda osoba ma prawo do dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO. Wniosek można złożyć drogą elektroniczną na adres [email protected]; Brenval odpowiada na takie wnioski w terminie do 30 dni od ich otrzymania. W przypadku szczególnie złożonych wniosków termin ten może zostać wydłużony o kolejne 60 dni, o czym osoba zgłaszająca wniosek zostanie poinformowana wraz z podaniem przyczyny opóźnienia.

• a) prawo dostępu — możliwość otrzymania kopii przetwarzanych danych;
• b) prawo do sprostowania — poprawienie nieaktualnego adresu lub numeru telefonu;
• c) prawo do usunięcia — o ile nie istnieje obowiązek prawny dalszego przechowywania danych.

Każda osoba ma również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uzna, że przetwarzanie jej danych narusza przepisy RODO.

7. Międzynarodowy transfer danych

Dane osobowe są przetwarzane głównie na serwerach znajdujących się na terenie Europejskiego Obszaru Gospodarczego. W przypadku korzystania z narzędzi analitycznych, których dostawca posiada infrastrukturę częściowo poza EOG, transfer danych odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, zapewniających odpowiedni poziom ochrony. Kopię stosowanych klauzul umownych można otrzymać po przesłaniu wniosku na adres [email protected].

13. Sub-processorzy i lista podmiotów przetwarzających

Poza podmiotami wskazanymi w punkcie 5, Brenval korzysta z usług wyspecjalizowanego dostawcy narzędzi analitycznych, który jako sub-processor przetwarza wyłącznie zanonimizowane lub pseudonimizowane dane statystyczne dotyczące ruchu na stronie. Sub-processor nie ma dostępu do danych kontaktowych podanych w formularzu zamówienia.

Aktualna lista sub-processorów jest utrzymywana wewnętrznie i udostępniana na żądanie osobom zainteresowanym po przesłaniu zapytania na adres [email protected]. Każda zmiana głównego sub-processora jest odnotowywana w rejestrze zmian niniejszej polityki wraz z datą wejścia w życie zmiany.

14. Ocena skutków dla ochrony danych (DPIA)

Brenval przeprowadził analizę ryzyka związanego z przetwarzaniem danych osobowych Klientów i uznał, że charakter, zakres oraz cel przetwarzania — ograniczony do realizacji zamówień za pobraniem i obsługi zapytań — nie wskazuje na wysokie ryzyko naruszenia praw i wolności osób fizycznych w rozumieniu art. 35 RODO. W związku z tym formalna ocena skutków dla ochrony danych (DPIA) nie jest obecnie wymagana.

Brenval zobowiązuje się do ponownej analizy tej kwestii w przypadku wprowadzenia nowych technologii przetwarzania danych, na przykład zautomatyzowanego profilowania klientów, co mogłoby wymagać przeprowadzenia pełnej oceny skutków przed wdrożeniem takiego rozwiązania.

15. Dostęp do danych przez pracowników Brenval

Dostęp do danych osobowych Klientów wewnątrz organizacji Brenval jest ograniczony do pracowników działu obsługi klienta oraz osób odpowiedzialnych za rozliczenia księgowe, zgodnie z zasadą minimalizacji dostępu. Każdy pracownik mający dostęp do danych osobowych jest zobowiązany do zachowania tajemnicy oraz przeszkolony w zakresie podstawowych zasad ochrony danych osobowych.

Dostęp do systemów przechowujących dane Klientów jest zabezpieczony indywidualnymi danymi logowania, a próby nieautoryzowanego dostępu są rejestrowane w dziennikach systemowych i podlegają okresowej kontroli.

8. Pliki cookies

Szczegółowe informacje o plikach cookies wykorzystywanych w serwisie, w tym o ich nazwach, celach i okresie przechowywania, znajdują się w odrębnej Polityce cookies.

9. Zautomatyzowane podejmowanie decyzji

Brenval nie stosuje zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby skutki prawne wobec osób składających zamówienia. Weryfikacja zamówień odbywa się w formie rozmowy telefonicznej prowadzonej przez pracownika działu obsługi klienta.

10. Dane dzieci i osób niepełnoletnich

Serwis oraz oferowany produkt są przeznaczone dla osób pełnoletnich. Brenval nie zbiera świadomie danych osobowych osób poniżej 18 roku życia i nie kieruje treści reklamowych do małoletnich. W razie ustalenia, że dane takiej osoby zostały przekazane bez wiedzy opiekuna prawnego, Brenval usunie je niezwłocznie po weryfikacji zgłoszenia.

11. Zgłaszanie naruszeń ochrony danych

W przypadku wykrycia incydentu mogącego skutkować naruszeniem ochrony danych osobowych Brenval dokonuje oceny ryzyka w ciągu 24 godzin od jego zidentyfikowania. Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw osób fizycznych, Brenval powiadamia organ nadzorczy w terminie 72 godzin oraz informuje osoby zainteresowane bez zbędnej zwłoki.

12. Zmiany polityki prywatności

Polityka prywatności jest okresowo aktualizowana w związku ze zmianami przepisów lub sposobu funkcjonowania serwisu.

• 12 stycznia 2026 r. — pierwsza wersja polityki opublikowana wraz z uruchomieniem serwisu.
• 15 marca 2026 r. — uzupełnienie o szczegółowe okresy retencji danych księgowych.
• 22 maja 2026 r. — dodanie sekcji o zgłaszaniu naruszeń ochrony danych i danych osób niepełnoletnich.