Polityka prywatności Lektoro: EU Product Compliance

Ta strona zawiera Politykę prywatności Lektoro z częścią dotyczącą aplikacji Lektoro: EU Product Compliance. Polityka prywatności →

Wersja: 1.0 · Ostatnia aktualizacja: 2026-10-08 · Dotyczy: wszystkich aplikacji Lektoro dla Shopify wymienionych w pkt 2 oraz strony https://lektoro.pl.

Polityka wyjaśnia, jakie dane osobowe przetwarzają aplikacje Lektoro, w jakim celu, jak długo, kto je otrzymuje i jakie prawa Ci przysługują. Pkt 1–14 dotyczą wszystkich aplikacji. Załącznik A opisuje dla każdej aplikacji osobno, jakie dane czyta z Shopify, co zapisuje i jak obsługuje webhooki prywatności Shopify. Strona prywatności każdej aplikacji (https://lektoro.pl/pl/apps/<aplikacja>/privacy/) to ta polityka plus właściwa sekcja Załącznika A.

W razie rozbieżności między wersjami językowymi rozstrzyga wersja angielska, a dla Sprzedawców i innych osób z Polski – wersja polska.

1. Kim jesteśmy

Wydawcą aplikacji jest:

Maciej Kaczmarczyk (Lektoro), osoba fizyczna prowadząca działalność nierejestrowaną (art. 5 ustawy – Prawo przedsiębiorców; bez wpisu do CEIDG, bez NIP i REGON), niezarejestrowana jako podatnik VAT Adres: ul. Warszawska 87/16, 66-400 Gorzów Wielkopolski, Polska E-mail (prywatność i ochrona danych): legal@lektoro.pl · Wsparcie: support@lektoro.pl

(„Lektoro”, „my”). Jesteśmy zarejestrowani w Shopify jako indywidualny Shopify Partner i mamy siedzibę w Unii Europejskiej (Polska). Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku (art. 37 RODO) . Sprawy prywatności: legal@lektoro.pl.

2. Aplikacje objęte polityką

3. Nasza rola: administrator czy podmiot przetwarzający

Aplikacje są narzędziami biznesowymi dla sprzedawców Shopify („Sprzedawca”, „Ty”).

• Jesteśmy administratorem danych dotyczących Sprzedawcy jako naszego klienta: tożsamości sklepu, osób, które kontaktują się z nami, korespondencji wsparcia, planu i statusu subskrypcji oraz logów technicznych i bezpieczeństwa.
• Jesteśmy podmiotem przetwarzającym na zlecenie Sprzedawcy w zakresie danych osobowych ze sklepu i danych wprowadzonych przez Sprzedawcę do aplikacji – np. numerów zamówień i kodów kraju, identyfikatora klienta powiązanego z wypłatą kaucji, identyfikatorów pracowników w dziennikach zmian, danych kontaktowych dostawców i podmiotów gospodarczych, danych przesłanych przez dostawców Sprzedawcy, adresów e-mail właścicieli produktów, którzy rejestrują produkt marki Sprzedawcy (EU Product Compliance). Administratorem tych danych jest Sprzedawca. Przetwarzanie reguluje umowa powierzenia przetwarzania danych (DPA) (https://lektoro.pl/pl/legal/dpa/), która jest częścią Regulaminu.

Jeżeli jesteś klientem sklepu Shopify, za Twoje dane odpowiada sklep. Skontaktuj się bezpośrednio ze sklepem; pomożemy mu odpowiedzieć na Twoje żądanie. Tak samo, jeśli zarejestrowałeś produkt marki na stronie EU Product Compliance: za Twoje dane odpowiada marka; rejestrację możesz usunąć sam linkiem z każdego otrzymanego e-maila (Załącznik A.13).

4. Jakie dane przetwarzamy

4.1 Dane instalacji i konta (wszystkie aplikacje). Przy instalacji Shopify przekazuje nam domenę sklepu (*.myshopify.com), token dostępu do API (przechowywany, aby wywoływać API Shopify w imieniu Sprzedawcy), przyznane uprawnienia (scopes) i identyfikator sklepu w Shopify. Zapisujemy daty instalacji i odinstalowania. Aplikacje używają tokenów „offline”; nie otrzymujemy imienia, nazwiska ani adresu e-mail pracownika korzystającego z aplikacji . Niektóre aplikacje zapisują identyfikator użytkownika Shopify pracownika wykonującego czynność (Załącznik A).

4.2 Plan i status subskrypcji (wszystkie aplikacje). Opłaty obsługuje Shopify (Shopify App Pricing). Nie otrzymujemy ani nie przechowujemy danych kart płatniczych ani rachunków bankowych. Pobieramy z Partner API Shopify aktywny plan sklepu, jego status (np. okres próbny, aktywny) i datę sprawdzenia oraz zapisujemy ostatni zweryfikowany wynik.

4.3 Dane sklepu odczytywane przez API Shopify. Każda aplikacja czyta tylko dane objęte jej uprawnieniami. Większość aplikacji czyta wyłącznie dane produktów i stanów magazynowych, które zwykle nie zawierają danych osobowych. Niektóre aplikacje czytają dane zamówień lub realizacji (EU Product Compliance dopiero po włączeniu przez Sprzedawcę „Order data”), a jedna zapisuje identyfikator klienta – patrz Załącznik A. Żadna aplikacja nie czyta imion i nazwisk, adresów e-mail, numerów telefonów ani adresów pocztowych klientów.

4.4 Dane wprowadzane przez Sprzedawcę. Ustawienia, reguły, mapowania, notatki, wgrane pliki CSV i dokumenty, adresy e-mail do alertów, dane kontaktowe dostawców lub podmiotów gospodarczych i podobne.

4.5 Dane innych osób. Tylko w przypadkach opisanych w Załączniku A:

• Odwiedzający sklep: zagregowane, anonimowe liczniki zdarzeń z piksela „heartbeat” Feed & Pixel Guard (tylko za zgodą analityczną odwiedzającego); żądania do publicznych stron paszportów (Textile Passport DPP, EU Product Compliance) i publicznych plików dokumentów (EU Product Compliance).
• Dostawcy Sprzedawcy, którzy przesyłają dane przez portal dostawców Textile Passport DPP lub EU Product Compliance.
• Właściciele produktów Sprzedawcy, którzy rejestrują egzemplarz z numerem seryjnym na stronie rejestracji EU Product Compliance (adres e-mail, numer seryjny, zgoda, język) i otrzymują e-maile potwierdzające oraz powiadomienia o wycofaniu wysyłane przez Sprzedawcę – przetwarzane w imieniu Sprzedawcy (Załącznik A.13).

4.6 Wsparcie i komunikacja. Gdy się z nami kontaktujesz: imię i nazwisko, adres e-mail, domena sklepu, treść korespondencji i załączniki.

4.7 Logi techniczne. Nasze serwery i dostawca hostingu zapisują dane techniczne żądań (adres IP, data i godzina, adres URL, user agent, kod odpowiedzi) w celach bezpieczeństwa i diagnostyki. Niektóre publiczne endpointy używają adresu IP tylko do limitowania liczby żądań, bez zapisywania samego adresu: większość trzyma go wyłącznie w pamięci, EU Product Compliance przechowuje tylko jego jednokierunkowy skrót z kluczem przez czas okna limitu (Załącznik A).

4.8 Strona internetowa. Strona https://lektoro.pl jest statyczna, bez kont i formularzy kontaktowych. Czcionki i wszystkie pliki są serwowane z naszego serwera; bez Twojej zgody strona nie łączy się z żadnym zewnętrznym serwerem.

• Logi serwera dostawcy hostingu (jak w pkt 4.7).
• Pamięć przeglądarki (localStorage), niezbędna lub ustawiana na Twoje żądanie, niewysyłana do nas: wybór motywu kolorów (lektoro-theme) i Twoja decyzja o cookies (lektoro-consent). Pozostają do czasu wyczyszczenia danych przeglądarki.
• Cookie języka (lektoro_lang), zapisywane tylko po wybraniu języka w menu języka: zapamiętuje EN, PL, DE lub FR, aby strona główna otwierała się w tym języku. Funkcjonalne, niezbędne do żądanej funkcji, bez danych osobowych, ważne 1 rok. Bez niego strona główna kieruje się ustawieniem języka przeglądarki.
• Google Analytics 4 – wyłącznie za Twoją zgodą. Po kliknięciu „Akceptuję” w banerze cookies strona ładuje Google Analytics 4, który zapisuje cookies (_ga, _ga_<ID>) i przesyła Google informacje o wizycie: odwiedzone strony, stronę odsyłającą, przybliżoną lokalizację ustaloną na podstawie adresu IP (GA4 nie przechowuje adresów IP), urządzenie, przeglądarkę i język. Funkcje reklamowe, Google Signals i personalizacja reklam są wyłączone. Bez zgody (albo po kliknięciu „Odrzucam”) Google Analytics w ogóle się nie ładuje. Decyzję możesz zmienić w każdej chwili linkiem „Ustawienia cookies” w stopce strony.

4.8a Darmowe sprawdzenie eko-deklaracji (lektoro.pl → tools.lektoro.pl). Gdy korzystasz z darmowego sprawdzenia na naszej stronie, Twoja przeglądarka wysyła wpisany adres sklepu do naszego serwera tools.lektoro.pl (hosting SEOHOST w Polsce); jak każdy serwer WWW otrzymuje on też Twój adres IP. Adresu sklepu używamy wyłącznie do pobrania publicznie dostępnych danych tego sklepu: pliku robots.txt i publicznej listy produktów (/products.json, do 500 produktów, tytuły i opisy); przestrzegamy robots.txt. Wynik jest przechowywany wyłącznie w pamięci serwera, najdłużej godzinę, aby ponowne sprawdzenie tego samego sklepu nie uruchamiało nowego skanu; nie jest zapisywany na dysku. Adres IP służy tylko do ograniczenia liczby sprawdzeń (5 na 10 minut) i jest trzymany w pamięci wyłącznie jako solony skrót jednokierunkowy. Prowadzimy anonimowe statystyki dzienne zawierające wyłącznie liczby (sprawdzenia, wyniki, rodzaje błędów, języki sklepów, kliknięcia do aplikacji oraz przybliżona liczba różnych odwiedzających i sklepów, liczona skrótami z losową solą istniejącą tylko w pamięci przez bieżący dzień); sumy przechowujemy do 400 dni. Adresów sklepów, adresów IP ani wyników nie zapisujemy w logach ani na dysku, nie ustawiamy cookies i nie wymagamy konta. Podstawa prawna: art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes w wykonaniu sprawdzenia, o które prosisz, i w anonimowych statystykach. Wynik to automatyczna analiza sformułowań, a nie porada prawna.

4.8b Pozostałe darmowe sprawdzenia sklepu (lektoro.pl/tools → tools.lektoro.pl). Sprawdzenie zduplikowanych SKU, sprawdzenie danych produktów dla Google Shopping i sprawdzenie dostępności działają tak samo jak sprawdzenie eko-deklaracji z punktu 4.8a (ten sam serwer, adres IP używany tylko do limitu 5 sprawdzeń na 10 minut dla każdego narzędzia i trzymany w pamięci wyłącznie jako solony skrót jednokierunkowy, wyniki tylko w pamięci najdłużej godzinę, brak zapisu adresów sklepów, adresów IP i wyników w logach, brak cookies i konta). Pobierają wyłącznie publicznie dostępne dane wpisanego sklepu, z poszanowaniem jego robots.txt: sprawdzenie SKU czyta publiczną listę produktów (/products.json, do 500 produktów z wariantami i SKU); sprawdzenie danych produktów czyta do 50 produktów z tej listy i otwiera do 5 publicznych stron produktów; sprawdzenie dostępności czyta do 10 produktów z tej listy i otwiera stronę główną oraz do 2 stron produktów. Anonimowe statystyki dzienne liczą te sprawdzenia osobno dla każdego narzędzia (zapytania, sprawdzenia, wyniki z trafieniami i bez, liczba sprawdzonych produktów lub stron, rodzaje błędów, kliknięcia do każdej aplikacji) wyłącznie jako liczby. Walidator kodów HS i walidator GTIN działają w całości w przeglądarce: to, co tam wklejasz lub wpisujesz, nie jest do nas wysyłane. Podstawa prawna jak w punkcie 4.8a. Wyniki to automatyczne sprawdzenia, a nie porada prawna.

4.9 Listingi w Shopify App Store. Gdy oglądasz listing aplikacji Lektoro w Shopify App Store, Shopify przesyła do naszej usługi Google Analytics 4 zdarzenia o tej wizycie: wyświetlenie listingu, kliknięcie „Install”, instalację, kliknięcie reklamy w App Store oraz źródło ruchu w App Store (np. frazę wyszukiwania lub kategorię). Shopify zbiera te dane na podstawie własnej polityki prywatności i ustawień cookies na apps.shopify.com; my otrzymujemy je w Google Analytics i korzystamy z nich wyłącznie w zbiorczych raportach, bez identyfikowania pojedynczych odwiedzających.

5. Cele i podstawy prawne

Czego nie robimy. Nie sprzedajemy ani nie udostępniamy odpłatnie danych osobowych. Nie wykorzystujemy danych sklepu ani klientów do reklamy, profilowania ani trenowania modeli uczenia maszynowego lub AI. Aplikacje nie korzystają z zewnętrznych usług AI (np. podpowiedzi kodów HS są liczone algorytmem regułowym na naszym serwerze). Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie wpływają na osobę (art. 22 RODO). Wyniki i podpowiedzi w aplikacjach są pomocą dla Sprzedawcy, który podejmuje decyzje.

6. Odbiorcy danych

• Shopify (Shopify Inc. i podmioty powiązane, w tym Shopify International Limited, Irlandia) – platforma, na której działają aplikacje. Shopify przetwarza dane na podstawie własnych warunków i polityki prywatności.
• Nasi podprocesorzy – dostawcy hostingu i wysyłki e-maili, wymienieni na https://lektoro.pl/pl/legal/subprocessors/.
• Miejsca docelowe wybrane przez Sprzedawcę – tylko jeśli Sprzedawca je skonfiguruje: webhook Slack, własny webhook Sprzedawcy, endpoint 3PL Sprzedawcy, Google Merchant Center (Google), eBay. To usługi wybrane przez Sprzedawcę, a nie nasi podprocesorzy; dane trafiają do nich na polecenie Sprzedawcy.
• Google (Google Ireland Limited, Irlandia; Google LLC, USA) – Google Analytics 4 na stronie (tylko za zgodą, pkt 4.8) i statystyki listingów w App Store (pkt 4.9).
• Publicznie: dane, które Sprzedawca postanowi opublikować w sklepie (informacje GPSR, paszporty produktów, publiczne zdarzenia cyklu życia numerów seryjnych).
• Właściciele produktów: powiadomienia o wycofaniu, które Sprzedawca wysyła zarejestrowanym właścicielom (EU Product Compliance, A.13).
• Organy i sądy, jeśli wymagają tego przepisy.

7. Przekazywanie danych poza EOG

Aplikacje i strona są hostowane przez SEOHOST Sp. z o.o., ul. Obornicka 330, 60-689 Poznań (KRS 0000939910, NIP 9721323212), na serwerach w Polsce (UE). Dane Google Analytics mogą być przekazywane do Google LLC w USA na podstawie EU–US Data Privacy Framework (Google LLC posiada certyfikację) oraz standardowych klauzul umownych Google. Gdy podprocesor lub odbiorca znajduje się poza EOG, przekazanie opiera się na decyzji stwierdzającej odpowiedni stopień ochrony (np. EU–US Data Privacy Framework, jeśli odbiorca posiada certyfikację) albo na standardowych klauzulach umownych (decyzja Komisji (UE) 2021/914) . Shopify przekazuje dane na podstawie własnych warunków. Szczegóły: https://lektoro.pl/pl/legal/subprocessors/.

8. Okres przechowywania

• W czasie instalacji: tak długo, jak wymaga tego funkcja aplikacji, z uwzględnieniem okresów z Załącznika A (np. historia zależna od planu).
• Odinstalowanie: natychmiast usuwamy tokeny dostępu Shopify (sesje) i zatrzymujemy zadania cykliczne, alerty i zbieranie danych, ale dane biznesowe Sprzedawcy przechowujemy przez 48 godzin, aby przypadkowe odinstalowanie nie zniszczyło dokumentacji zgodności; ponowna instalacja w tym czasie przywraca dostęp.
• Pełne usunięcie: Shopify wysyła webhook shop/redact 48 godzin po odinstalowaniu. Po jego otrzymaniu usuwamy wszystkie dane sklepu z bazy aplikacji. Kopie w backupach są nadpisywane w ciągu 30 dni.
• Usunięcie awaryjne: każda aplikacja zapisuje datę odinstalowania. Jeżeli webhook shop/redact nie dotrze, automatyczne czyszczenie usuwa wszystkie dane sklepu po upływie 90 dni od odinstalowania (chyba że aplikację zainstalowano ponownie). Czyszczenie uruchamia się raz dziennie – razem z zadaniami cyklicznymi aplikacji, a w aplikacjach bez takich zadań przy jej bieżącej aktywności (webhooki, otwarcie panelu).
• Usunięcie danych klienta: po customers/redact usuwamy lub anonimizujemy dane wskazanego klienta lub zamówień, jeśli aplikacja je posiada (Załącznik A).
• Korespondencja wsparcia: 3 lata od zakończenia korespondencji (okres przedawnienia roszczeń).
• Logi techniczne: 14 dni, chyba że są potrzebne dłużej do wyjaśnienia incydentu bezpieczeństwa.
• Dokumentacja księgowa : 5 lat od końca roku kalendarzowego, w którym powstał obowiązek podatkowy.

Ważne dla dokumentacji zgodności: niektóre aplikacje przechowują zapisy, które Sprzedawca może mieć obowiązek prawny przechowywać (np. rejestr opakowań EPR, rejestr incydentów GPSR, paszporty produktów, rejestr kaucji). Usunięcie danych po shop/redact nie wpływa na własne obowiązki Sprzedawcy. Wyeksportuj dane przed odinstalowaniem – każda aplikacja ma eksport CSV/JSON lub raporty do druku.

Statystyki strony i listingów: dane Google Analytics 4 (pkt 4.8, 4.9) przechowujemy 14 miesięcy (ustawienie przechowywania danych GA4), po czym Google usuwa je automatycznie; cookies _ga wygasają po 2 latach albo po wycofaniu zgody i usunięciu cookies.

9. Bezpieczeństwo

Stosujemy środki odpowiednie do ryzyka, m.in.: szyfrowanie TLS całego ruchu; weryfikację tokenów sesji Shopify oraz podpisów HMAC webhooków Shopify i żądań App Proxy; minimalne niezbędne uprawnienia – domyślnie tylko odczyt, a uprawnienia zapisu dopiero wtedy, gdy Sprzedawca użyje funkcji zapisującej; szyfrowanie przechowywanych danych dostępowych do usług zewnętrznych (AES-256-GCM dla hasła sklepu i tokenu Google w Feed & Pixel Guard oraz tokenów marketplace w Oversell & Sync Watch); przechowywanie wyłącznie skrótów (hash) linków dostawców (Textile Passport DPP, EU Product Compliance); ochronę żądań wychodzących przed SSRF; limity żądań na publicznych endpointach; rozdzielenie danych per sklep; ograniczony dostęp administracyjny do systemów produkcyjnych (tylko wydawca) ; regularne kopie zapasowe przechowywane 30 dni . Zob. też Załącznik II do DPA.

10. Webhooki prywatności Shopify

Wszystkie aplikacje obsługują obowiązkowe webhooki prywatności Shopify:

• customers/data_request – aplikacje przechowujące dane powiązane z klientem lub z zamówieniami wskazanymi w żądaniu (3PL Case-Pack Picker, DRS Deposit & Returns, EPR Packaging Report) zapisują żądanie i pokazują Sprzedawcy w aplikacji komunikat z pobraniem pasujących rekordów (CSV/JSON), które Sprzedawca przekazuje klientowi (Shopify oczekuje odpowiedzi w ciągu 30 dni); Sprzedawca oznacza żądanie jako zrealizowane. Zapisane żądanie zawiera tylko identyfikatory (ID klienta, ID zamówień, ID żądania) – bez e-maila i telefonu klienta – i jest usuwane po customers/redact dla tego klienta albo razem z danymi sklepu. Pozostałe aplikacje nie przechowują danych klientów: żądanie jest potwierdzane i logowane (Załącznik A);
• customers/redact – usuwamy lub anonimizujemy dane klienta, jeśli aplikacja je posiada;
• shop/redact – usuwamy wszystkie dane sklepu (48 godzin po odinstalowaniu).

11. Twoje prawa

Na podstawie RODO masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 15–21). Napisz na legal@lektoro.pl. Odpowiemy w ciągu miesiąca (z możliwością przedłużenia o dwa miesiące w sprawach złożonych). Klienci i dostawcy Sprzedawcy: administratorem jest Sprzedawca – skontaktuj się z nim; otrzymane żądania przekażemy Sprzedawcy i pomożemy mu je zrealizować.

Masz prawo wnieść skargę do organu nadzorczego – w Polsce do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl – albo do organu w państwie UE, w którym mieszkasz lub pracujesz.

Podanie danych jest dobrowolne, ale niezbędne do korzystania z aplikacji; bez danych instalacji aplikacja nie działa.

12. Cookies i śledzenie

• W panelu Shopify: aplikacje działają wewnątrz panelu Shopify i uwierzytelniają się tokenami sesji Shopify. Nie ustawiają cookies reklamowych ani analitycznych. Jedyne cookie ustawiane przez aplikację to niezbędne cookie bezpieczeństwa (HttpOnly, ważne 10 minut) podczas opcjonalnego łączenia z eBay w Oversell & Sync Watch. Shopify może ustawiać własne cookies w panelu na podstawie swojej polityki.
• W sklepie (widoczne dla klientów): tylko poniższe elementy. Żaden nie ustawia cookies ani nie korzysta z pamięci przeglądarki.

• Strona internetowa: patrz pkt 4.8. Cookies wyłącznie od Google Analytics 4 i dopiero po kliknięciu „Akceptuję” w banerze:

• Shopify App Store: apps.shopify.com prowadzi Shopify; jego cookies i zgody na nie reguluje polityka Shopify. Statystyki, które otrzymujemy, opisuje pkt 4.9.

13. Dzieci

Aplikacje są przeznaczone dla firm. Nie zbieramy świadomie danych dzieci.

14. Zmiany polityki

Każdą zmianę opublikujemy na tej stronie z nową datą. O istotnych zmianach poinformujemy Sprzedawców e-mailem lub w aplikacji co najmniej 30 dni przed ich wejściem w życie, chyba że przepisy wymagają szybszej zmiany.

Załącznik A – informacje dla poszczególnych aplikacji

Oznaczenia: PCD = „protected customer data” w Shopify (dane klientów sklepu). „Tylko odczyt” = aplikacja niczego nie zmienia w sklepie, chyba że wskazano inaczej. Wspólne dla wszystkich aplikacji (niepowtarzane niżej): dane instalacji, status planu i usunięcie po shop/redact (pkt 4.1, 4.2 i 8); webhooki app/uninstalled (usuwa tokeny dostępu, dane biznesowe zostają do shop/redact) i app/scopes_update (zapisuje przyznane uprawnienia).

A.13 Lektoro: EU Product Compliance

• Uprawnienia: read_products, read_locales. Opcjonalne (prośba dopiero przy użyciu funkcji): read_markets („Import from Shopify Markets”), write_products („Publish to storefront”: własne metapola produktów i wariantów oraz metaobiekty aplikacji), read_themes („Check my theme”: odczyt szablonów produktu motywu głównego, tylko odczyt), read_orders i read_fulfillments („Order data” w Settings, plany Pro i Scale: rejestr zamówień do śledzenia partii i numerów seryjnych, rejestru opakowań i dotkniętych zamówień w incydencie wycofania).
• Webhooki: products/create, products/update, products/delete, bulk_operations/finish oraz wspólne i obowiązkowe webhooki prywatności. Tylko przy włączonym „Order data” (subskrypcja dla danego sklepu w chwili włączenia, usuwana po wyłączeniu albo cofnięciu uprawnień do zamówień): orders/create, orders/updated, orders/cancelled, fulfillments/create, fulfillments/update, refunds/create – treść ograniczona do identyfikatorów i niezapisywana; aplikacja ponownie odczytuje zamówienie.
• Dane z Shopify: produkty i warianty (tytuł, uchwyt, dostawca, typ, kategoria, tagi, kolekcje, status, zdjęcie, SKU, kod kreskowy/GTIN, kraj pochodzenia, kod HS, czy wymaga wysyłki), języki sklepu; po zgodzie: rynki, szablony produktu motywu głównego. Bez klientów i adresów. Tylko przy włączonym „Order data”: identyfikator i numer zamówienia, daty zamówienia, znacznik zamówienia testowego, pozycje (identyfikator produktu i wariantu, SKU, ilości), realizacje (identyfikator, status, data, ilości), zwroty pieniędzy (identyfikator, data, ilości, rodzaj zwrotu do magazynu) i kod kraju dostawy – bez imienia i nazwiska, e-maila, telefonu i adresu klienta (chronione dane klientów Shopify, poziom 1). Po włączeniu jednorazowo odczytywane są zamówienia z ostatnich 60 dni.
• Dane od Sprzedawcy: podmioty gospodarcze (nazwa, nazwa handlowa, adres pocztowy, e-mail, telefon, adres kontaktowy URL, osoba kontaktowa, EORI/GLN/VAT i inne numery rejestrowe – mogą identyfikować osobę fizyczną), przypisania i profile produktów, ostrzeżenia i ich tłumaczenia, dokumenty z wgranymi plikami (PDF/PNG/JPEG/WebP do 20 MB; pliki mogą zawierać dane osobowe), dostawcy (nazwa firmy, osoba kontaktowa i do 5 adresów e-mail, kraj, notatki), zapytania o dane, treść paszportów, partie produkcyjne (kod, daty, ilość, powiązane dokumenty) i numery seryjne ze statusem; dane opakowań (materiały, komponenty opakowań, zestawienia opakowań per wariant, profile opakowań wysyłkowych, numery rejestrowe EPR per kraj); incydenty wycofania (tytuł, rodzaj, status, poziom ryzyka, opis, zagrożenie, działania naprawcze, numer sprawy u organu, dotknięte produkty i partie, wpisy osi czasu z linkami i dokumentami z Vault – formularze proszą, by nie wpisywać imion ani danych kontaktowych klientów); zdarzenia cyklu życia numerów seryjnych (rodzaj, data, krótki publiczny opis do 80 znaków, który aplikacja odrzuca, gdy wygląda na adres e-mail, numer telefonu albo link, oraz notatka wewnętrzna); ustawienia gwarancji (nazwa marki, link do polityki prywatności marki, adres e-mail do odpowiedzi, link do własnego formularza reklamacji marki) i treść powiadomień o wycofaniu do zarejestrowanych właścicieli. Importy CSV (partie, numery seryjne, pliki wysyłek od 3PL, pliki wysyłek dla opakowań) zachowują tylko potrzebne wartości i numer zamówienia wysyłki; pozostałe kolumny (imiona, adresy, e-maile) są pomijane i niezapisywane. Z eksportu zamówień Shopify odczytywane są tylko kolumny Name, Created at, Fulfilled at, Fulfillment status, Lineitem quantity, Lineitem sku, Lineitem requires shipping, Lineitem fulfillment status, Shipping Country, Source, Shipping Method, Cancelled at i Id. Importy do Data Hub (podmioty i dane produktów z plików CSV albo z plików eksportu Lektoro GPSR Safety Desk i Textile DPP): sprawdzone wiersze czekające na „Import” są przechowywane zaszyfrowane i usuwane po zakończeniu importu (najpóźniej po 24 godzinach).
• Portal dostawcy: Sprzedawca przekazuje link /supplier/<token> w domenie aplikacji (przechowujemy tylko skrót SHA-256 tokenu, datę ważności i ostatniego użycia). Dostawca widzi tylko zamówione produkty i sekcje (w planach Pro i Scale także komponenty opakowań per wariant), może przesłać dane i pliki (do 10 na zapytanie); nic nie jest stosowane przed zatwierdzeniem przez Sprzedawcę. Adres IP dostawcy jest używany tylko do limitowania żądań: aplikacja przechowuje w bazie jego jednokierunkowy skrót z kluczem (HMAC-SHA256) przez czas okna limitu (najwyżej 10 minut), nigdy sam adres. Portal nie ustawia cookies i nie ładuje zasobów zewnętrznych ani analityki. Sam portal nie wysyła e-maili (e-maile do dostawców: zob. „E-mail” niżej).
• Pliki: przechowywane w magazynie plików naszego serwera (SEOHOST, Polska), poza sklepem Shopify, w osobnym folderze dla każdego sklepu; typ sprawdzany po zawartości pliku; pobieranie tylko przez uwierzytelnioną aplikację albo – dla dokumentów oznaczonych przez Sprzedawcę „Show on storefront” – przez publiczny link z losowym tokenem (usuwanym, gdy dokument staje się prywatny).
• Rejestr opakowań (plany Pro i Scale; pomaga przygotować raporty opakowaniowe w krajowych systemach EPR i w związku z rozporządzeniem (UE) 2025/40 (PPWR) – to nie jest porada prawna): od pierwszego otwarcia Packaging każda wysyłka, anulowanie i zwrot (zwrot pieniędzy z przyjęciem na magazyn) w rejestrze zamówień tworzy wpis w niezmiennym rejestrze: numer zamówienia, identyfikator realizacji, kraj docelowy, data wysyłki, kanał (wysyłka albo odbiór osobisty), SKU, ilości i gramy per materiał; korekty to wpisy storno. Wysyłki można też zaimportować z CSV (identyfikator wysyłki lub numer śledzenia, data, kraj, SKU, ilość, kod opakowania, liczba paczek, numer zamówienia). Raporty obejmują tylko kraje docelowe z UE/EOG. Przed zapisem aplikacja szyfruje (AES-256-GCM): numer i identyfikator zamówienia, identyfikator wysyłki / realizacji, zapisaną kopię rekordu źródłowego, stan uzgodnienia, notatki, nazwy plików CSV i listy błędów importu; klucz idempotencji i znormalizowany numer zamówienia są przechowywane tylko jako wartości HMAC-SHA256. Kraj, daty, kanał, SKU, ilości i masy są niezaszyfrowane, bo raporty sumują je per kraj. Moduł nie zapisuje numerów zamówień ani nazw plików w (niezaszyfrowanym) dzienniku audytu. Bloki w panelu Shopify na stronie zamówienia i produktu pokazują opakowania tego zamówienia / produktu.
• Alerty Safety Gate (plany Pro i Scale): publiczne alerty bezpieczeństwa produktów z Safety Gate – unijnego systemu szybkiego ostrzegania o niebezpiecznych produktach nieżywnościowych prowadzonego przez Komisję Europejską. Dwa źródła: (1) plik raportu tygodniowego (XML) albo CSV, który Sprzedawca pobiera z portalu Safety Gate i wgrywa, (2) tylko gdy na naszym serwerze ustawiono adres publicznego eksportu raportów tygodniowych (SAFETY_GATE_FEED_URL) – automatyczne pobieranie przez HTTPS z ec.europa.eu (indeks najwyżej co 6 godzin, raporty z ostatnich 84 dni, identyfikator klienta „Lektoro-EU-Product-Compliance/1.0”). Te zapytania nie zawierają danych sklepu ani danych osobowych. Raporty są zapisywane raz dla wszystkich sklepów (usuwane 182 dni po publikacji) i kopiowane do sklepów z włączonym monitoringiem. Alerty mogą zawierać nazwy firm, marek i sprzedawców internetowych opublikowane przez Komisję; zdjęcia z alertów nie są kopiowane. Aplikacja pokazuje informację o źródle „Source: Safety Gate … (European Commission) … CC BY 4.0” w aplikacji i w każdym eksporcie. Alerty są dopasowywane do katalogu sklepu (kod kreskowy, marka / dostawca / producent, model, nazwa, partia) – dopasowanie to wskazówka do sprawdzenia, a nie stwierdzenie, że produkt jest niebezpieczny. Alerty sklepu są usuwane 730 dni po dacie raportu, chyba że mają potwierdzone dopasowanie albo incydent.
• Incydenty wycofania (plany Pro i Scale; podgląd i eksport istniejącego incydentu w każdym planie): numerowane incydenty z dotkniętymi produktami, partiami, numerami seryjnymi, osią czasu i dokumentami z Vault. Dotknięte zamówienia są wyliczane przy otwarciu strony lub eksportu z rejestru zamówień (numer zamówienia z linkiem do zamówienia w panelu Shopify, kraj dostawy, ilości, partie, numery seryjne) i nie są kopiowane do tabel incydentu; bez imion i nazwisk, e-maili, telefonów i adresów klientów (chronione dane klientów poziomu 2 nie są używane). Sprzedawca pobiera dowody (ZIP z plikami JSON, CSV i plikami z Vault albo pojedyncze pliki JSON/CSV) przez uwierzytelnioną aplikację. Aplikacja przypomina o art. 20 rozporządzenia (UE) 2023/988 (GPSR) i Safety Business Gateway, ale niczego nie wysyła do organów. Numery seryjne dotkniętych partii można oznaczyć jako wycofane; ich publiczna strona egzemplarza pokazuje wtedy informację o wycofaniu.
• Rejestracja produktów przez właścicieli (plan Scale): po włączeniu przez Sprzedawcę (wymagane są nazwa marki i link do polityki prywatności marki) właściciel egzemplarza z numerem seryjnym może go zarejestrować ze strony paszportu egzemplarza w domenie aplikacji: numer seryjny, adres e-mail, zgoda (tekst z nazwą marki i linkiem do polityki prywatności marki; zapisywane są wersja tekstu zgody i czas) oraz język strony (en, de, pl, fr). Podwójne potwierdzenie (double opt-in): aplikacja wysyła e-mail z linkiem, który otwiera stronę z przyciskiem – potwierdza dopiero naciśnięcie przycisku; niepotwierdzone rejestracje (i ich linki) są usuwane po 7 dniach. Adres e-mail jest szyfrowany przez aplikację (AES-256-GCM), a do wyszukiwania służy indeks HMAC-SHA256; adres nigdy nie trafia do dziennika audytu ani do kolejki e-maili, a panel pokazuje go zamaskowany. Role: Sprzedawca (marka) jest administratorem danych właścicieli, Lektoro przetwarza je w jego imieniu; strony i e-maile to podają („processed by Lektoro on behalf of [marka]”). Rejestracje nie są powiązane z klientami ani zamówieniami Shopify. Właściciel może w każdej chwili usunąć rejestrację linkiem z każdego e-maila (także jako wypisanie jednym kliknięciem, List-Unsubscribe) – jest usuwana od razu; Sprzedawca może ją też usunąć w aplikacji. Przeniesienie własności: jednorazowy kod z 10 znaków, przechowywana jest tylko jego wartość HMAC-SHA256, ważny 14 dni; nowy właściciel rejestruje się z kodem i potwierdza e-mailem, poprzednia rejestracja jest wtedy usuwana; wykorzystane i wygasłe kody są usuwane 30 dni po użyciu lub wygaśnięciu. Powiadomienia o wycofaniu: tekst Sprzedawcy jest wysyłany e-mailem do zarejestrowanych właścicieli dotkniętych numerów seryjnych; kolejka odczytuje adres z rejestracji w chwili wysyłki, więc usunięta rejestracja jest pomijana; zapisy doręczeń (która rejestracja dostała które powiadomienie) są usuwane 90 dni po utworzeniu, gdy są wysłane, nieudane albo pominięte – zostają tylko liczniki. Po zmianie planu ze Scale na niższy nowe rejestracje są wstrzymane, a zarejestrowani właściciele nadal dostają powiadomienia o wycofaniu i mogą zarządzać rejestracją lub ją usunąć.
• Przechowywane: kopia katalogu i wyniki skanu, rekordy bazy danych zgodności z wersjami, dokumenty i rewizje plików, dostawcy i zapytania ze zgłoszeniami i plikami oczekującymi, zapisy publikacji w sklepie, cyfrowe paszporty produktów z niezmiennymi wersjami (SHA-256), dziennik audytu (wykonawca: identyfikator użytkownika Shopify, supplier:<id>, owner albo system; adresy e-mail dostawców i właścicieli nie trafiają do dziennika), partie, numery seryjne, zdarzenia cyklu życia, dane i rejestr opakowań, alerty Safety Gate i dopasowania, incydenty, rejestracje właścicieli i powiadomienia o wycofaniu oraz – przy włączonym „Order data” – rejestr zamówień (zamówienia, pozycje, wysłane i zwrócone pozycje, która partia trafiła do której wysyłki). Identyfikatory i numery zamówień, identyfikatory realizacji i zwrotów, pola zamówień w rejestrze opakowań, adresy e-mail właścicieli i identyfikatory w żądaniach dostępu do danych są szyfrowane przez aplikację przed zapisem do bazy (AES-256-GCM); wyszukiwanie korzysta z wartości HMAC-SHA256 zamiast jawnych identyfikatorów; klucz jest w środowisku serwera, nie w bazie.
• Strony i pliki publiczne (w domenie aplikacji, nie sklepu): opublikowane paszporty pod /dpp/<id> (HTML, JSON, obraz kodu QR) i adresy GS1 Digital Link /dpp/s/<klucz sklepu>/01/<GTIN>…; publiczne pliki dokumentów pod /public/documents/<token>. Pokazują to, co opublikował Sprzedawca, w tym nazwę oraz adres pocztowy i elektroniczny podmiotu gospodarczego; nazwy dostawców i dokumenty prywatne nigdy nie są publikowane. Adres GS1 Digital Link z zarejestrowanym numerem seryjnym (…/21/<numer>) pokazuje też ten numer, jego partię, publiczne zdarzenia cyklu życia (rodzaj, miesiąc i krótki opis – nigdy kto; zdarzenia rejestracji i przeniesienia są wewnętrzne, chyba że Sprzedawca je upubliczni) i – gdy Sprzedawca oznaczył egzemplarz jako wycofany – informację o wycofaniu; nigdy danych zamówienia ani klienta i nigdy informacji, czy egzemplarz ma zarejestrowanego właściciela. Strony rejestracji produktu (/dpp/s/<klucz sklepu>/register, /transfer, /confirm/<token>, /owner/<token>) to formularze HTML bez JavaScriptu i bez zasobów zewnętrznych. Bez cookies, bez analityki, aplikacja nie prowadzi logu dostępu; język przeglądarki (Accept-Language) wybiera język strony; adres IP jest używany tylko do limitowania żądań: aplikacja przechowuje w bazie jego jednokierunkowy skrót z kluczem (HMAC-SHA256) przez czas okna limitu (najwyżej 10 minut), nigdy sam adres; formularz rejestracji robi to samo z adresem e-mail (okno limitu 1 godzina). Żądania trafiają też do logów technicznych dostawcy hostingu (pkt 4.7).
• Dane opublikowane w sklepie: po „Publish to storefront” aplikacja zapisuje w sklepie własne metapola i metaobiekty (podmioty, ostrzeżenia z tłumaczeniami, publiczne dokumenty, model, numery partii/serii, link do paszportu); wyświetlają je bloki motywu. Te wartości zostają w Shopify po odinstalowaniu aplikacji: Shopify cofa wtedy token dostępu aplikacji, więc aplikacja nie może ich już usunąć. Sprzedawca usuwa je przed odinstalowaniem przyciskiem „Remove all from storefront”; aplikacja pokazuje o tym komunikat.
• Retencja: do shop/redact (48 h po odinstalowaniu; awaryjnie 90 dni), potem usuwane są wszystkie wiersze i pliki sklepu, w tym paszporty i ich wersje, rejestr opakowań, incydenty, rejestracje właścicieli i powiadomienia – publiczne linki do paszportów i kody QR zwracają wtedy „nie znaleziono”. Przed odinstalowaniem Sprzedawca może pobrać archiwum paszportów (JSON), dokumenty, raporty opakowań i eksporty incydentów. Między odinstalowaniem a usunięciem strony paszportów działają. Rejestr zamówień i rejestr opakowań są przechowywane, dopóki aplikacja jest zainstalowana (identyfikowalność i raporty wymagają historii wysyłek); Sprzedawca może w każdej chwili usunąć wszystkie zapisane zamówienia (Settings → Order data). Odinstalowanie kończy odczyt zamówień (Shopify usuwa subskrypcje webhooków zamówień). Okresy modułów: niepotwierdzone rejestracje właścicieli 7 dni, kody przeniesienia 30 dni po użyciu lub wygaśnięciu, zapisy doręczeń powiadomień 90 dni, zapisane raporty Safety Gate 182 dni, alerty Safety Gate sklepu 730 dni (zob. wyżej).
• customers/data_request: zapisywane bez e-maila i telefonu klienta (identyfikatory zaszyfrowane) i od razu obsługiwane. Przy włączonym „Order data” dołączane są zapisy wskazanych zamówień (numer zamówienia, produkty, ilości, partie, numery seryjne, kraj dostawy, wpisy rejestru opakowań), które Sprzedawca pobiera jako JSON w Settings. Jeśli adresem e-mail klienta zarejestrowano produkty (porównanie przez indeks HMAC), żądanie podaje liczbę takich rejestracji, a Sprzedawca znajduje je w Warranty → Registrations. customers/redact: usuwane są zapisane żądania klienta; z rejestru zamówień usuwane są identyfikator i numer wskazanych zamówień oraz identyfikatory ich realizacji i zwrotów, a z rejestru opakowań – odwołania do tych zamówień (anonimowe ilości, masy, partie i kraje zostają); usuwane są rejestracje właścicieli dokonane adresem e-mail klienta w tym sklepie.
• PCD: Poziom 1 tylko przy włączonym „Order data” (bez pól poziomu 2: imię i nazwisko, e-mail, telefon, adres). Adresy e-mail właścicieli produktów zbiera własny formularz rejestracji aplikacji – nie są odczytywane z Shopify.
• Sklep / cookies: zob. pkt 12 – bloki motywu i strony publiczne bez cookies i śledzenia. Bloki „Warranty registration” i „Product lifecycle” zawierają tylko linki do stron w domenie aplikacji.
• E-mail (tylko gdy na serwerze aplikacji skonfigurowano wysyłkę): (a) za zgodą (opt-in), od planu Starter: jeden e-mail dziennie z dokumentami Vault do odnowienia, na maks. 3 adresy wpisane przez Sprzedawcę w Settings; (b) na prośbę Sprzedawcy nowy link do portalu dostawcy jest wysyłany na adresy kontaktowe dostawcy zapisane przez Sprzedawcę, a – dopóki zapytania są otwarte – jedno przypomnienie 3 dni przed wygaśnięciem linku (bez powtarzania linku). Adresy odbiorców są przechowywane zaszyfrowane; dziennik wysyłek zawiera tylko rodzaj, czas, status i liczbę odbiorców (180 dni). E-mail o wygaśnięciach i przypomnienie mają link wypisania jednym kliknięciem. Bez pikseli i linków śledzących. Bez skonfigurowanej wysyłki nic nie jest wysyłane (linki i przypomnienia widać w aplikacji).
• E-mail do właścicieli produktów (moduł 10): e-maile potwierdzające rejestrację i przeniesienie oraz powiadomienia o wycofaniu do właścicieli produktów, wysyłane przez serwer pocztowy SMTP skonfigurowany na naszym serwerze (SEOHOST, Polska); treść: marka, nazwa produktu, numer seryjny, linki do potwierdzenia / zarządzania / usunięcia rejestracji, linki do polityki prywatności i formularza reklamacji marki, a w powiadomieniach o wycofaniu – tekst Sprzedawcy; odpowiedzi trafiają na adres do odpowiedzi podany przez Sprzedawcę. Powiadomienia o wycofaniu są wysyłane w tle z limitem na godzinę. Bez skonfigurowanego serwera poczty aplikacja nic nie wysyła, a rejestracja produktów jest niedostępna.