Polityka prywatności platformy B2B
Wersja 1 · Obowiązuje od 19.10.20261. Kto odpowiada za Twoje dane
Administratorem danych osobowych przetwarzanych na Platformie B2B sklep.oreco.pl (dalej: Platforma) jest Oreco sp. z o.o. z siedzibą w Żdżarowie, Żdżarów 71C, 96-500 Sochaczew, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000493416, NIP 837 181 49 88, REGON 147077508 (dalej: Oreco albo my).
Kontakt w sprawach danych osobowych: e-mail iod@oreco.pl albo pismo na adres Oreco z dopiskiem „IOD”. Wyznaczyliśmy Inspektora Ochrony Danych; kontakt z nim jest możliwy pod tym samym adresem.
Platforma działa na oprogramowaniu wisecommerce, które dostarcza i utrzymuje na nasze zlecenie Dushka sp. z o.o. z siedzibą w Warszawie, ul. Hoża 86/410, 00-682 Warszawa, KRS 0001256029, NIP 7011324425 (dalej: Dostawca Platformy). Dostawca Platformy przetwarza dane wyłącznie w naszym imieniu, na podstawie umowy powierzenia, i nie korzysta z nich do własnych celów.
2. Kogo dotyczy ta polityka
Ta polityka dotyczy:
użytkowników Platformy: osób, które mają konto i kupują w imieniu firmy będącej klientem Oreco (właścicieli kont firmy i pracowników), także zanim aktywują konto,
osób kontaktowych klientów: osób, które firma wskazała jako kontakt do zamówień, płatności albo upomnień, także gdy nie mają konta na Platformie,
osób, które piszą do nas przez formularze na Platformie (formularz kontaktowy, formularz zgłoszenia firmy),
odwiedzających, którzy przeglądają Platformę bez logowania.
Jeśli prowadzisz jednoosobową działalność gospodarczą, dane Twojej firmy (nazwa, NIP, adres) są także Twoimi danymi osobowymi i ta polityka ich dotyczy.
3. Skąd mamy Twoje dane
Od Ciebie: gdy aktywujesz konto, zmieniasz swoje dane w ustawieniach, składasz zamówienie, wypełniasz formularz, korzystasz z Platformy.
Od Twojej firmy: gdy właściciel konta firmy dodaje Cię jako osobę z dostępem do Platformy albo gdy firma podaje Twoje dane kontaktowe opiekunowi handlowemu Oreco.
Z naszego systemu handlowego (ERP): dane firm, adresów dostawy, faktur i rozliczeń pochodzą z systemu Comarch ERP XL, w którym Oreco prowadzi sprzedaż.
Z rejestru REGON: dane firmy możemy uzupełniać z publicznego rejestru REGON prowadzonego przez Główny Urząd Statystyczny.
Z poprzedniej wersji sklepu: konta, hasła (w postaci skrótu), listy ulubionych i aktywne koszyki użytkowników sklepu Oreco przenieśliśmy na Platformę w październiku 2026 r.
Jeżeli dane osoby otrzymujemy od firmy albo z innego źródła, przekazujemy tej osobie informację o przetwarzaniu najpóźniej w ciągu miesiąca, a jeżeli wcześniej się z nią kontaktujemy albo ujawniamy jej dane innemu odbiorcy, najpóźniej przy pierwszym takim kontakcie lub ujawnieniu. Nie powtarzamy informacji, które osoba już ma.
4. Jakie dane przetwarzamy i po co
4.1. Konto użytkownika
Dane: imię, nazwisko, adres e-mail (login), telefon, hasło zapisane jako skrót (nie znamy Twojego hasła), rola i powiązania z firmami, data aktywacji konta, data ostatniego logowania, historia konta (kto nadał dostęp, zmiany roli, blokady, zmiany hasła) oraz zapis, którą wersję regulaminu i polityki prywatności zaakceptowałeś i kiedy.
Cel: prowadzenie konta, logowanie, bezpieczeństwo konta (np. czasowa blokada po nieudanych logowaniach, unieważnianie sesji), wysyłanie wiadomości o koncie (zaproszenie, ustawienie hasła, dostęp do kolejnej firmy), dowód akceptacji dokumentów.
Podstawa: dane osoby wskazanej przez firmę przed aktywacją konta przetwarzamy na podstawie naszego prawnie uzasadnionego interesu w organizacji dostępu dla przedstawicieli firmy (art. 6 ust. 1 lit. f RODO). Od aktywacji konta dane niezbędne do jego prowadzenia przetwarzamy na podstawie umowy o korzystanie z Platformy, której jesteś stroną (art. 6 ust. 1 lit. b RODO); historię konta i dowód akceptacji przechowujemy w naszym prawnie uzasadnionym interesie w rozliczalności i obronie przed roszczeniami (art. 6 ust. 1 lit. f RODO).
W rekordach konta i akceptacji dokumentów nie zapisujemy adresu IP ani informacji o przeglądarce. Dane te mogą występować w logach infrastruktury opisanych w punkcie 4.9.
4.2. Dane Twojej firmy i osób kontaktowych
Dane: nazwa firmy, NIP, adres siedziby, adresy dostawy, warunki płatności, limit kredytu kupieckiego, opiekun handlowy, przypisanie do grupy cenowej i cennika, tagi, atrybuty i notatki handlowe dotyczące firmy; dla osób kontaktowych: imię, nazwisko, stanowisko, telefon, e-mail, uwagi pracownika Oreco, oznaczenie osoby do spraw płatności i odbiorcy upomnień. Osoba z kontem na Platformie jest jednocześnie osobą kontaktową swojej firmy; imię, nazwisko i telefon są wspólne. Jeżeli firma jest osobą fizyczną, tagi, atrybuty i notatki mogą być jej danymi osobowymi.
Osoby mające dostęp do tej samej firmy na Platformie widzą wzajemnie swoje imiona, nazwiska, adresy e-mail i telefony, żeby firma mogła zarządzać swoimi osobami i zamówieniami.
Cel: obsługa sprzedaży dla firmy, wystawianie dokumentów, dostawy, kontakt w sprawie zamówień i płatności.
Podstawa: wykonanie umowy z firmą (art. 6 ust. 1 lit. b RODO), gdy jako osoba fizyczna jesteś stroną umowy; dane przedstawicieli i osób kontaktowych firmy przetwarzamy na podstawie naszego prawnie uzasadnionego interesu w wykonywaniu umowy z Twoją firmą i w kontakcie z jej przedstawicielami (art. 6 ust. 1 lit. f RODO).
4.3. Koszyk, zamówienia i listy ulubionych
Dane: zawartość koszyka firmy, zamówienia (kto je złożył, firma, NIP, adres dostawy, termin, pozycje i ceny, własny numer zamówienia, komentarz do zamówienia), historia zamówienia, informacja o wstrzymaniu zamówienia z powodu rozliczeń i o jego zwolnieniu albo anulowaniu wraz z powodem, listy ulubionych produktów firmy.
Cel: przyjęcie i realizacja zamówienia, przekazanie go do naszego systemu ERP, informowanie Cię e-mailem o złożeniu, przyjęciu, anulowaniu i zrealizowaniu zamówienia, kontrola rozliczeń firmy przed przyjęciem zamówienia, działanie list ulubionych.
Podstawa: wykonanie umowy sprzedaży, gdy jako osoba fizyczna jesteś jej stroną (art. 6 ust. 1 lit. b RODO); w pozostałych przypadkach nasz prawnie uzasadniony interes w obsłudze zamówień firmy, którą reprezentujesz (art. 6 ust. 1 lit. f RODO); obowiązki podatkowe i rachunkowe (art. 6 ust. 1 lit. c RODO).
Koszyk jest prowadzony dla firmy: widzą go inne osoby Twojej firmy z dostępem do Platformy oraz pracownicy Oreco obsługujący firmę.
4.4. Faktury i rozliczenia
Dane: faktury i wydania firmy z naszego systemu ERP (numer, daty, kwoty, pozycje, obraz faktury), stan rozliczenia, kwoty po terminie, limit kredytu kupieckiego.
Cel: udostępnienie firmie jej dokumentów i stanu rozliczeń na Platformie, kontrola kredytowa.
Podstawa: wykonanie umowy, gdy jako osoba fizyczna jesteś jej stroną (art. 6 ust. 1 lit. b RODO), inaczej nasz prawnie uzasadniony interes w obsłudze rozliczeń firmy (art. 6 ust. 1 lit. f RODO); przechowywanie dokumentów sprzedaży to obowiązek prawny (art. 6 ust. 1 lit. c RODO).
4.5. Twoja aktywność na Platformie
Gdy jesteś zalogowany, Platforma zapisuje:
obecność w sklepie: którą stronę oglądasz teraz (strona główna, kategoria, produkt, wyszukiwanie z wpisaną frazą, koszyk, składanie zamówienia, zamówienia, płatności, ulubione, konto), w imieniu której firmy, kiedy zacząłeś obecną wizytę i kiedy byłeś ostatnio aktywny; w dobowym cyklu usuwamy wpisy starsze niż jeden dzień,
historię aktywności: wizyty (początek, koniec, liczba stron), obejrzane produkty i kategorie, wpisane frazy wyszukiwania z liczbą wyników, dodanie i usunięcie produktu w koszyku; w dobowym cyklu usuwamy wpisy starsze niż 90 dni.
Pracownicy Oreco widzą w panelu, kto z Twojej firmy jest teraz w sklepie i co ogląda, oraz historię aktywności firmy i osoby: co oglądała, czego szukała, jak zmieniała koszyk i które produkty obejrzała, a nie zamówiła. Korzystają z tego, żeby lepiej dopasować ofertę i obsługę firmy. Jest to część usługi opisanej w regulaminie Platformy.
Cel i podstawa: nasz prawnie uzasadniony interes w obsłudze handlowej klientów i rozwoju Platformy (art. 6 ust. 1 lit. f RODO). Masz prawo wnieść sprzeciw wobec tego przetwarzania (rozdział 9).
Platforma nie zapisuje przy tym adresu IP, informacji o przeglądarce, lokalizacji ani odcisku urządzenia.
4.6. Statystyki sklepu bez identyfikatora osoby
Platforma zlicza, ile osób zalogowanych i niezalogowanych korzysta ze sklepu w danej godzinie, ile stron obejrzały, które produkty i kategorie są oglądane najczęściej i jakie frazy są wyszukiwane (także bez wyników). Liczniki nie zawierają identyfikatora konta ani trwałego identyfikatora przeglądarki; zawierają jednak wpisane frazy wyszukiwania. W dobowym cyklu usuwamy liczniki starsze niż 400 dni. Do zliczania wizyt przeglądarka wysyła losowy identyfikator, który istnieje wyłącznie w pamięci roboczej otwartej strony; nie zapisujemy go w cookies, local storage ani session storage, a po przeładowaniu strony powstaje nowy, więc liczba odwiedzających jest przybliżona.
4.7. Formularz kontaktowy i zgłoszenie firmy
Dane: imię i nazwisko albo nazwa firmy, e-mail, telefon, temat i treść wiadomości; w zgłoszeniu firmy także NIP, nazwa firmy, adres oraz informacja o akceptacji regulaminu i potwierdzeniu polityki prywatności. Potwierdzenie polityki prywatności oznacza, że otrzymałeś informację o przetwarzaniu, i nie jest zgodą na przetwarzanie.
Cel: odpowiedź na pytanie, rozpatrzenie zgłoszenia firmy i zaproszenie jej do Platformy, obsługa reklamacji.
Podstawa: działania przed zawarciem umowy na Twoje żądanie (art. 6 ust. 1 lit. b RODO) albo nasz prawnie uzasadniony interes w odpowiadaniu na wiadomości (art. 6 ust. 1 lit. f RODO).
Platforma nie zapisuje treści formularzy w bazie: wiadomość trafia e-mailem na skrzynkę Oreco i tam ją obsługujemy. Odpowiadamy na podany adres e-mail.
4.8. Wiadomości e-mail
Platforma wysyła na Twój adres e-mail wyłącznie wiadomości związane z kontem i zamówieniami: zaproszenie, odnośnik do ustawienia hasła, informację o dostępie do kolejnej firmy, wiadomości o złożeniu, przyjęciu, anulowaniu i zrealizowaniu zamówienia, informacje o nowych wersjach dokumentów Platformy oraz odpowiedzi na Twoje wiadomości. Nie wysyłamy przez Platformę newslettera ani reklam i nie prosimy na Platformie o zgody marketingowe.
4.9. Bezpieczeństwo i dane techniczne
Dane: logi techniczne serwerów (adres IP, czas żądania, przeglądarka, adres strony), zgłoszenia błędów Platformy do usługi Sentry (przed wysłaniem usuwamy dane konta i treści żądań oraz maskujemy rozpoznane adresy e-mail i adresy IP; pozostają dane techniczne potrzebne do diagnostyki, po stronie serwera także informacja o przeglądarce), liczba żądań z adresu IP używana do ograniczania ruchu (tylko w pamięci serwera, bez zapisu).
Cel: utrzymanie i ochrona Platformy, wykrywanie nadużyć i awarii, naprawa błędów.
Podstawa: nasz prawnie uzasadniony interes w bezpieczeństwie usługi (art. 6 ust. 1 lit. f RODO).
4.10. Dochodzenie i obrona roszczeń
Dane z rozdziałów 4.1–4.7 możemy przetwarzać także, aby dochodzić roszczeń albo bronić się przed nimi (art. 6 ust. 1 lit. f RODO).
5. Czy musisz podać dane
Podanie imienia, nazwiska i adresu e-mail jest konieczne, aby mieć konto na Platformie; bez nich nie możemy go założyć. Telefon jest opcjonalny. Dane firmy są konieczne do sprzedaży i wystawienia faktury. W formularzu kontaktowym konieczne są imię i nazwisko albo nazwa firmy, e-mail i treść wiadomości.
6. Jak długo przechowujemy dane
Konto: przez czas świadczenia usługi. Po zamknięciu konta (przez Ciebie albo przez Oreco) zachowujemy tylko dane niezbędne do wykonania obowiązków prawnych oraz do ustalenia, dochodzenia lub obrony konkretnych roszczeń, przez właściwy dla nich okres: dla roszczeń związanych z działalnością gospodarczą co do zasady 3 lata, a dla roszczeń sprzedawcy z tytułu sprzedaży 2 lata, liczone zgodnie z Kodeksem cywilnym. Zapis akceptacji dokumentów przechowujemy razem z danymi konta przez ten sam czas.
Osoby kontaktowe firmy: przez czas współpracy z firmą, a po jej zakończeniu przez okres przedawnienia roszczeń jak wyżej; dane kontaktowe usuwamy wcześniej, gdy przestają być potrzebne (np. osoba przestała pracować w firmie).
Zamówienia, faktury i rozliczenia: dokumenty podatkowe do upływu terminu przedawnienia zobowiązania podatkowego (co do zasady 5 lat od końca roku, w którym upłynął termin płatności podatku), dokumenty księgowe zgodnie z ustawą o rachunkowości, a dane zamówień także do przedawnienia roszczeń z umowy.
Obecność w sklepie: wpisy starsze niż 1 dzień; historia aktywności: wpisy starsze niż 90 dni; statystyki: liczniki starsze niż 400 dni. Usunięcie następuje przy najbliższym dobowym wykonaniu zadania po upływie okresu.
Wiadomości z formularzy: w skrzynce Oreco przez 24 miesiące od ostatniego kontaktu, a gdy dojdzie do współpracy, jak dane firmy.
Logi techniczne i kopie zapasowe: logi do 400 dni, z dostępem ograniczonym do osób odpowiedzialnych za bezpieczeństwo Platformy; kopie zapasowe bazy danych do 14 dni od ich wykonania.
Po tych okresach dane usuwamy albo anonimizujemy.
7. Kto ma dostęp do danych
Pracownicy i współpracownicy Oreco – tylko w zakresie swoich zadań: opiekunowie handlowi widzą firmy, które obsługują, ich osoby, zamówienia, rozliczenia i aktywność w sklepie; pracownicy biura obsługi i administratorzy – wszystkich klientów. Handlowcy korzystają też z aplikacji mobilnej Oreco, która przechowuje na telefonie kopię danych obsługiwanych firm (nazwa, adresy, osoby kontaktowe, zamówienia, oferty, rozliczenia); telefon jest chroniony blokadą ekranu i szyfrowaniem urządzenia, aplikacja blokuje dostęp po 14 dniach bez połączenia, a Oreco może zdalnie usunąć dane z telefonu.
Dostawca Platformy, Dushka sp. z o.o. (rozdział 1) – jako podmiot przetwarzający, w zakresie utrzymania, naprawy błędów i zadań serwisowych wykonywanych na nasze zlecenie (np. usunięcie danych na żądanie). Jego pracownicy nie korzystają z panelu Oreco i nie przeglądają danych klientów w codziennej pracy.
Podwykonawcy Dostawcy Platformy, z których usług Platforma korzysta:
Google Cloud (Google Cloud EMEA Limited, Irlandia) – serwery, baza danych, pliki i kopie zapasowe Platformy w regionie europe-central2 (Warszawa); logi techniczne; usługa powiadomień Firebase dla aplikacji mobilnej pracowników Oreco (przez nią przechodzi nazwa firmy i wartość zamówienia),
Resend (Resend, Inc., USA) – wysyłka wiadomości e-mail z Platformy (adres e-mail odbiorcy i treść wiadomości),
Sentry (Functional Software, Inc., USA; zdarzenia przechowywane w centrum danych w Unii Europejskiej) – zgłoszenia błędów technicznych opisane w punkcie 4.9.
Nasz system ERP (Comarch ERP XL), który działa na serwerach Oreco, oraz jego serwisant Gecos sp. z o.o. – zamówienia, firmy, adresy, faktury i rozliczenia.
Główny Urząd Statystyczny – gdy sprawdzamy dane firmy w rejestrze REGON po numerze NIP.
Dostawca naszej poczty firmowej – wiadomości z formularzy i odpowiedzi do Ciebie.
Podmioty uprawnione przepisami (np. organy podatkowe, sądy) oraz nasi doradcy prawni, księgowi i audytorzy, gdy jest to potrzebne.
8. Gdzie są dane i czy trafiają poza Europejski Obszar Gospodarczy
Baza danych, pliki i kopie zapasowe Platformy są przechowywane w regionie Google Cloud w Warszawie. Nie oznacza to, że wszystkie dane związane z Platformą są przetwarzane wyłącznie w Polsce: usługa logów technicznych nie jest ograniczona do tego regionu, a zdarzenia Sentry są przechowywane w Unii Europejskiej. Dwaj podwykonawcy mają siedziby w USA i mogą tam przetwarzać dane: Resend (wysyłka e-maili; przechowuje dane w USA) i Sentry (zgłoszenia błędów; część danych technicznych może być przetwarzana w USA). Obaj są certyfikowani w Ramach Ochrony Danych UE–USA (Data Privacy Framework), więc przekazanie danych opieramy na decyzji wykonawczej Komisji Europejskiej 2023/1795 z 10 lipca 2023 r., a dodatkowo na standardowych klauzulach umownych Komisji Europejskiej zawartych w umowach powierzenia z tymi dostawcami. Kopię zabezpieczeń możesz uzyskać, pisząc na iod@oreco.pl.
9. Twoje prawa
Masz prawo:
dostępu do swoich danych i uzyskania ich kopii,
sprostowania danych – imię, nazwisko, telefon i adres e-mail poprawisz sam w ustawieniach konta; dane firmy poprawiamy na prośbę zgłoszoną przez formularz kontaktowy,
usunięcia danych, gdy nie są już potrzebne do celów, dla których je zebraliśmy, i nie musimy ich przechowywać na podstawie przepisów,
ograniczenia przetwarzania,
przenoszenia danych, które nam dostarczyłeś i które przetwarzamy automatycznie na podstawie umowy, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego,
sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie. Jeżeli dane o Twojej aktywności (rozdział 4.5) wykorzystujemy do marketingu bezpośredniego, w tym związanego z nim profilowania, po sprzeciwie nie będziemy ich przetwarzać do tych celów. W pozostałych przypadkach uwzględnimy sprzeciw wynikający z Twojej szczególnej sytuacji, chyba że wykażemy podstawy przewidziane w art. 21 ust. 1 RODO,
skargi do Prezesa Urzędu Ochrony Danych Osobowych.
Z praw korzystasz, pisząc na iod@oreco.pl albo przez formularz kontaktowy. O podjętych działaniach informujemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w przypadkach przewidzianych prawem możemy przedłużyć ten termin o kolejne dwa miesiące, informując o tym i o przyczynach w pierwszym miesiącu.
Zamknięcie konta w ustawieniach („Zamknij konto”) blokuje konto, ale nie usuwa danych; o usunięcie danych poproś nas osobno na iod@oreco.pl. Otwarte zamówienie albo pełnienie funkcji jedynej osoby kontaktowej firmy nie wyłącza prawa do usunięcia danych; ewentualne dalsze przechowywanie ograniczamy do danych i celów, dla których istnieje podstawa prawna.
10. Czy podejmujemy decyzje automatycznie
Jeżeli rozliczenia firmy wskazują zaległość albo przekroczenie limitu kredytu kupieckiego, Platforma, zależnie od ustawień Oreco dla firmy, nie przyjmuje zamówienia albo zapisuje je i wstrzymuje jego przekazanie do realizacji. Pracownik Oreco ocenia wstrzymane zamówienie i decyduje, czy je zwolnić, czy anulować. Możesz skontaktować się z Oreco, przedstawić wyjaśnienia, zakwestionować dane rozliczeniowe i poprosić o ponowną ocenę, także gdy Platforma nie przyjęła zamówienia. Poza tym nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na automatycznym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne albo podobnie istotnie na Ciebie wpływały.
11. Jak chronimy dane
Połączenie z Platformą jest szyfrowane (HTTPS); serwery Platformy przyjmują ruch tylko przez zabezpieczone punkty wejścia, a baza danych nie jest dostępna z internetu.
Hasła przechowujemy wyłącznie jako skróty kryptograficzne; po kilku nieudanych logowaniach logowanie jest czasowo blokowane; sesje wygasają i można je zakończyć na wszystkich urządzeniach.
Dane każdej firmy korzystającej z oprogramowania wisecommerce są odseparowane od danych innych firm; dostęp pracowników Oreco zależy od roli i zakresu obsługiwanych klientów.
Kopie zapasowe bazy danych są wykonywane codziennie i przechowywane w tym samym regionie.
Dostęp do danych w celach serwisowych jest rejestrowany, a każda operacja serwisowa ma zapisany powód.
12. Pliki cookies i pamięć przeglądarki
Co Platforma zapisuje w Twojej przeglądarce, opisuje Polityka cookies. Platforma nie korzysta z narzędzi analitycznych ani reklamowych innych firm.
13. Zmiany polityki
Gdy zmienią się zasady przetwarzania danych, opublikujemy nową wersję tej polityki na Platformie z numerem wersji i datą, prześlemy ją e-mailem użytkownikom i poprosimy zalogowanych o potwierdzenie zapoznania się z nią. O nowym celu przetwarzania informujemy przed rozpoczęciem przetwarzania w tym celu; sama publikacja albo potwierdzenie polityki nie zastępują wymaganej podstawy prawnej. Wcześniejsze wersje pozostają dostępne pod adresem sklep.oreco.pl/privacy-policy.