Polityka prywatności Nordics Co AS

biotics.pl
Obowiązuje od 19.10.2026 r.

Ta polityka opisuje, jak Nordics Co AS przetwarza Twoje dane osobowe w serwisie biotics.pl oraz w związku z zamówieniami, realizacją umów i obsługą klienta, a także jak używamy plików cookie.

1. Administrator danych

Administratorem Twoich danych osobowych jest:

Nordics Co AS
c/o BA5 Invest AS
Cort Adelers gate 17
0254 Oslo, Norwegia
Nr rejestrowy 932 343 487
E-mail: cs@nordics.co

Nordics Co AS ma siedzibę w Norwegii, czyli w Europejskim Obszarze Gospodarczym (EOG). Do przetwarzania Twoich danych stosuje się RODO (rozporządzenie (UE) 2016/679), obowiązujące w Norwegii na podstawie umowy o EOG.

Nie wyznaczyliśmy inspektora ochrony danych. W sprawach dotyczących danych osobowych napisz na adres cs@nordics.co.

2. Działanie strony i infrastruktura techniczna

2.1. Hosting strony – Vercel

Strona i formularz zamówienia są udostępniane przez Vercel. Przy każdym wejściu na stronę mogą być przetwarzane dane techniczne połączenia: adres IP, czas wejścia, adres odwiedzonej strony, strona odsyłająca, dane przeglądarki i urządzenia oraz informacje o błędach i bezpieczeństwie.

Danych zamówień i klientów nie przechowujemy w Vercel. Dane z formularza zamówienia trafiają bezpośrednio do naszego zaplecza technicznego pod adresem api.nordics.co.

Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w bezpiecznym, stabilnym i sprawnym działaniu strony.

2.2. Zaplecze, baza danych i przechowywanie dokumentów – AWS

Nasze zaplecze i API pod adresem api.nordics.co działają w Amazon Web Services (AWS), który wykorzystujemy do hostingu, bazy danych, logów technicznych oraz przechowywania dokumentów i plików (w szczególności S3). Główny region danych to Sztokholm (Szwecja); jako region zapasowy służy Frankfurt (Niemcy).

W zapleczu przetwarzamy dane potrzebne do realizacji umowy i obsługi klienta, w szczególności imię i nazwisko, adres, adres e-mail, numer telefonu, dane zamówień, umów, płatności i faktur oraz historię korespondencji i logi systemowe. Nie zbieramy daty urodzenia.

Przetwarzanie potrzebne do zamówienia i realizacji umowy opiera się na art. 6 ust. 1 lit. b RODO, dane dotyczące bezpieczeństwa, stabilności i logi techniczne – na art. 6 ust. 1 lit. f RODO, a dane, które musimy przechowywać na podstawie przepisów – na art. 6 ust. 1 lit. c RODO.

2.3. Cloudflare przed API

Przed api.nordics.co działa Cloudflare jako usługa bezpieczeństwa, proxy i CDN. W ramach przesyłania mogą być przetwarzane dane połączenia i treść zapytań. Dla api.nordics.co włączone są usługi regionalne Cloudflare (Regional Services / Data Localization) dla UE, dzięki czemu objęte nimi przetwarzanie odbywa się w UE.

Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w ochronie przed nadużyciami i atakami oraz w bezpiecznym i wydajnym połączeniu z API.

2.4. Jak długo przechowujemy dane techniczne

Logi techniczne i dane bezpieczeństwa przechowujemy tylko tak długo, jak to potrzebne do działania strony, analizy błędów, przeciwdziałania nadużyciom i wyjaśniania incydentów bezpieczeństwa. Jeżeli są potrzebne do ustalenia, dochodzenia lub obrony roszczeń, możemy je przechowywać do zakończenia sprawy.

2.5. Pomiar ruchu – Plausible Analytics

Do pomiaru ruchu w serwisie używamy instalacji Plausible Analytics na naszych własnych serwerach w UE. Plausible nie używa plików cookie i nie zapisuje żadnych informacji w Twoim urządzeniu. Twój adres IP jest wykorzystywany tylko przez chwilę, aby razem z typem przeglądarki utworzyć anonimowy identyfikator zmieniający się codziennie, a następnie jest odrzucany – nie zapisujemy go. Statystyki są zbiorcze i nie pozwalają Cię zidentyfikować.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes polegający na mierzeniu korzystania z serwisu i jego ulepszaniu. Możesz w każdej chwili wnieść sprzeciw wobec tego przetwarzania (art. 21 RODO).

3. Zamówienie, realizacja umowy i subskrypcja

Aby zrealizować zamówienie i umowę, przetwarzamy w szczególności Twoje imię i nazwisko, adres dostawy i adres do faktury, adres e-mail, numer telefonu oraz dane zamówienia, umowy, płatności i faktur. Numer telefonu jest potrzebny do doręczenia przesyłki (przewoźnik informuje o niej SMS-em) i do kontaktu w sprawie zamówienia.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO. Jeżeli przepisy nakładają na nas obowiązki przechowywania, podatkowe, rachunkowe lub dowodowe, podstawą jest również art. 6 ust. 1 lit. c RODO.

3.1. Płatności

Płatności obsługują Stripe (karty płatnicze) i PayPal. Gdy wybierasz jeden z tych sposobów płatności, przekazujemy operatorowi dane potrzebne do przeprowadzenia płatności. Dane karty lub konta przetwarza bezpośrednio operator; my otrzymujemy tylko informacje potrzebne do obsługi zamówienia, statusu płatności, księgowości i ewentualnych zwrotów.

Podstawą prawną przekazania danych jest art. 6 ust. 1 lit. b RODO. Operatorzy płatności mogą przy niektórych czynnościach działać jako odrębni administratorzy danych.

3.2. Magazyn, wysyłka i zwroty

Magazynowanie, kompletowanie, pakowanie, wysyłkę i zwroty obsługuje Lundeby Webblager AB w Szwecji. Przekazujemy mu potrzebne dane klienta i zamówienia, w szczególności imię i nazwisko, adres, adres e-mail, numer telefonu i informacje o zamówieniu.

Do doręczenia przekazujemy potrzebne dane wysyłkowe (imię i nazwisko, adres, numer telefonu) przewoźnikom, obecnie w szczególności PostNord i DHL oraz ich partnerom doręczającym w Polsce.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO.

3.3. E-maile transakcyjne

E-maile związane z umową, np. potwierdzenia zamówień, informacje o wysyłce i zwrotach oraz przypomnienia przed kolejnymi dostawami, wysyłamy przez Mailgun, skonfigurowany w regionie UE. Przetwarzany jest przy tym w szczególności adres e-mail, techniczne informacje o doręczeniu i potrzebna treść dotycząca umowy lub zamówienia.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO; jeżeli przechowujemy logi doręczeń ze względów bezpieczeństwa lub dowodowych – także art. 6 ust. 1 lit. f RODO.

3.4. Dowód złożenia zamówienia

Przy złożeniu zamówienia zapisujemy adres IP i identyfikator przeglądarki użytego urządzenia wraz z czasem złożenia zamówienia. Służy to udowodnieniu zamówienia w razie sporu i przeciwdziałaniu nadużyciom. Podstawą prawną jest nasz prawnie uzasadniony interes w zabezpieczeniu dowodów i zapobieganiu oszustwom (art. 6 ust. 1 lit. f RODO). Dane usuwamy najpóźniej 36 miesięcy po zamówieniu, chyba że są potrzebne w toczącym się sporze. W razie sporu możemy je przekazać operatorowi płatności.

3.5. Konto „Moje konto”

W „Moje konto” (account.nordics.co) możesz sprawdzić swoje zamówienia i subskrypcje, zmienić je lub z nich zrezygnować. Logujesz się kodem lub linkiem wysyłanym na Twój adres e-mail. Przetwarzamy przy tym Twój adres e-mail, dane subskrypcji i zamówień oraz dane techniczne logowania. Podstawą prawną jest art. 6 ust. 1 lit. b RODO, a w zakresie bezpieczeństwa logowania – art. 6 ust. 1 lit. f RODO.

3.6. Jak długo przechowujemy dane umowy

Dane umów, płatności, faktur i księgowe przechowujemy przez okres wymagany przepisami podatkowymi i rachunkowymi. Pozostałe dane dotyczące umowy i dowody przechowujemy do upływu terminów przedawnienia roszczeń, chyba że dłuższe przechowywanie jest potrzebne do ustalenia, dochodzenia lub obrony roszczeń.

4. Obsługa klienta i korespondencja e-mail

Gdy piszesz do nas na adres cs@nordics.co, przetwarzamy dane, które nam przekazujesz, i treść wiadomości, aby załatwić Twoją sprawę – w tym dane zamówienia i umowy, informacje o zwrotach, dokumenty i inne informacje, które dobrowolnie podajesz. Gdy korzystasz z funkcji odstąpienia od umowy online, przetwarzamy Twoje imię i nazwisko, adres e-mail, treść oświadczenia oraz datę i godzinę jego otrzymania, aby je zarejestrować i potwierdzić.

Do obsługi skrzynki cs@nordics.co używamy Google Workspace (Gmail) ze skonfigurowanym regionem danych w UE.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO, gdy korespondencja dotyczy zawartej lub planowanej umowy, oraz art. 6 ust. 1 lit. c RODO w zakresie potwierdzenia odstąpienia od umowy. W pozostałych przypadkach podstawą jest nasz prawnie uzasadniony interes w sprawnej komunikacji z klientami i rzetelnym załatwianiu spraw (art. 6 ust. 1 lit. f RODO).

Korespondencję usuwamy, gdy nie jest już potrzebna do załatwienia sprawy ani ze względu na obowiązujące terminy dowodowe, przechowywania lub przedawnienia.

5. Marketing e-mailowy

Jeżeli wyrazisz na to zgodę (np. zaznaczając pole po złożeniu zamówienia), wysyłamy Ci e-mailem informacje marketingowe o naszych produktach, około 1–2 razy w roku. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej). Zgodę możesz wycofać w każdej chwili – linkiem w każdej wiadomości lub e-mailem na adres cs@nordics.co; wycofanie zgody nie wpływa na zgodność z prawem wcześniejszej wysyłki. Zapisujemy treść i datę udzielenia oraz wycofania zgody, aby móc ją wykazać.

6. Pliki cookie i zarządzanie zgodami

Korzystamy z własnego narzędzia do zarządzania zgodami i plikami cookie. Narzędzia analityczne i marketingowe, które nie są technicznie niezbędne, włączamy dopiero po wyrażeniu przez Ciebie zgody.

Przechowywanie informacji w Twoim urządzeniu lub uzyskiwanie do nich dostępu wymaga Twojej zgody (art. 399 Prawa komunikacji elektronicznej), z wyjątkiem działań niezbędnych do świadczenia usługi, o którą prosisz (np. zapamiętanie Twojego wyboru dotyczącego cookie lub działanie formularza zamówienia). Dalsze przetwarzanie danych osobowych przez narzędzia analityczne i marketingowe opiera się na Twojej zgodzie (art. 6 ust. 1 lit. a RODO).

Zapisujemy Twój wybór dotyczący zgód, aby go stosować i móc go wykazać (art. 6 ust. 1 lit. c i f RODO). Przechowujemy go do czasu zmiany lub wycofania zgody, a dłużej tylko w zakresie potrzebnym do wykazania zgodności z prawem lub do ustalenia, dochodzenia lub obrony roszczeń.

Swoje zgody możesz w każdej chwili zmienić lub wycofać w ustawieniach plików cookie (link na dole każdej strony); wycofanie działa na przyszłość. Jeżeli korzystamy z usług Google, Twój wybór może być przekazywany do Google przez Google Consent Mode. Funkcje zapisu i reklamowe, na które się nie zgodziłeś, nie są włączane.

7. Analityka, pomiar i marketing po wyrażeniu zgody

Poniższe narzędzia analityczne i marketingowe włączamy dopiero po wyrażeniu przez Ciebie zgody. Podstawą prawną przetwarzania danych osobowych jest art. 6 ust. 1 lit. a RODO, a w zakresie dostępu do informacji w Twoim urządzeniu lub ich zapisu – także art. 399 Prawa komunikacji elektronicznej.

• Google Analytics 4: pomiar ruchu i sposobu korzystania ze strony.
• Śledzenie konwersji Google Ads: pomiar skuteczności naszych reklam Google i związanych z nimi konwersji.
• Microsoft Advertising UET: pomiar reklam i konwersji w Microsoft Advertising.
• Piksel Meta: pomiar i optymalizacja kampanii reklamowych na platformach Meta (Facebook, Instagram).
• Piksel TikTok: pomiar i optymalizacja kampanii reklamowych w TikTok.
• Piksel Snap: pomiar i optymalizacja kampanii reklamowych w Snapchat.
• Tagowanie po stronie serwera: na naszym własnym serwerze w UE (AWS w Sztokholmie). Serwer technicznie przetwarza zdarzenia, na które wyraziłeś zgodę, i przekazuje je zgodnie z naszą konfiguracją do włączonych narzędzi analitycznych i reklamowych.

7.1. Dopasowanie zamówień do reklam (Customer Match, Enhanced Conversions)

Po wyrażeniu zgody przekazujemy dane z procesu zamówienia do naszego własnego środowiska tagowania po stronie serwera (nasz własny serwer w UE). Stamtąd udostępniamy włączonym usługom reklamowym – w szczególności Google, Meta, TikTok, Snap i Microsoft – dane do dopasowania, aby mogły przypisać zamówienie do wcześniejszej interakcji z reklamą (Customer Match, Enhanced Conversions lub podobne funkcje).

Twój adres e-mail i numer telefonu są do tego celu przed przekazaniem usługom reklamowym kryptograficznie haszowane; w postaci jawnej ich nie przekazujemy. Podstawą prawną jest art. 6 ust. 1 lit. a RODO. Bez Twojej zgody takie dopasowanie się nie odbywa; zgodę możesz w każdej chwili wycofać w ustawieniach plików cookie.

7.2. Jak długo przechowujemy te dane

Dane analityczne i marketingowe przetwarzamy tylko tak długo, jak to potrzebne do danego celu, do wycofania zgody lub do zakończenia danego przetwarzania. Jeżeli dostawcy przetwarzają dane jako odrębni administratorzy, obowiązują także ich okresy przechowywania. Aktualny wybór i kategorie narzędzi możesz w każdej chwili sprawdzić i zmienić w ustawieniach plików cookie.

8. Przekazywanie danych poza EOG

Dla naszej podstawowej infrastruktury i wielu dostawców wybieramy regiony w UE lub EOG – w szczególności AWS w Sztokholmie z regionem zapasowym we Frankfurcie, usługi regionalne Cloudflare dla UE, Google Workspace z regionem danych w UE i Mailgun EU.

U dostawców działających globalnie nie można jednak wykluczyć, że niektóre procesy wsparcia, bezpieczeństwa, procesy grupowe lub podwykonawców obejmą przetwarzanie poza EOG. Dane przekazujemy do państwa trzeciego tylko na warunkach art. 44 i nast. RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne (art. 46 RODO).

Na prośbę wysłaną na adres cs@nordics.co poinformujemy Cię o podstawie konkretnego przekazania i o zastosowanych zabezpieczeniach oraz udostępnimy ich kopię.

9. Nie sprzedajemy danych

Nie sprzedajemy Twoich danych osobowych. Przekazujemy je tylko wtedy, gdy jest to potrzebne do celów opisanych w tej polityce: na podstawie Twojej zgody, do realizacji umowy, z powodu obowiązku prawnego lub na innej podstawie prawnej.

10. Twoje prawa

Na zasadach określonych w RODO masz prawo do: dostępu do danych (art. 15), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. e lub f RODO z przyczyn związanych z Twoją szczególną sytuacją (art. 21) oraz do wycofania udzielonej zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem.

Aby skorzystać ze swoich praw, wystarczy e-mail na adres cs@nordics.co.

Masz też prawo wnieść skargę do organu nadzorczego – w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl) – albo do organu nadzorczego w państwie Twojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia. Właściwym dla nas organem w Norwegii jest Datatilsynet (Postboks 458 Sentrum, 0105 Oslo, datatilsynet.no).

11. Czy musisz podać dane

Dane oznaczone w formularzu zamówienia jako obowiązkowe – imię i nazwisko, adres, adres e-mail i numer telefonu – są potrzebne do zawarcia i realizacji umowy. Bez nich nie możemy zrealizować zamówienia. Dane płatnicze, w zależności od wybranego sposobu płatności, przetwarza bezpośrednio operator płatności. Zgody na marketing i pliki cookie są dobrowolne.

12. Zautomatyzowane decyzje

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Nie używamy danych ze strony ani danych klientów do własnego profilowania klientów. Nie dotyczy to opartych na zgodzie funkcji analitycznych, konwersji i remarketingu wymienionych platform.

13. Zmiany polityki prywatności

Aktualizujemy tę politykę, gdy zmieniają się nasze sposoby przetwarzania danych, używane usługi lub przepisy. Obowiązuje wersja opublikowana na stronie. Nowe funkcje lub dodatkowe kanały marketingowe uruchamiamy dopiero po odpowiedniej aktualizacji tej polityki.