Polityka prywatności
Wersja z dnia 5 września 2026 r.
1. Administrator danych
Administratorem danych osobowych jest BUILDO Spółka z ograniczoną odpowiedzialnością, 62-200 Gniezno, ul. Witkowska 82A. Kontakt w sprawach danych osobowych: management@ebuildo.pl.
W zakresie danych przetwarzanych w związku z konkretną transakcją odrębnym administratorem danych Kupującego jest Sprzedawca, któremu przekazujemy dane niezbędne do realizacji zamówienia (pkt 4).
2. Jakie dane przetwarzamy
| Kontekst | Dane |
|---|---|
| Konto | e-mail, hasło (wyłącznie jako skrót kryptograficzny), nazwa/alias |
| Zamówienie | imię i nazwisko, adres dostawy, telefon, e-mail, historia zamówień; dane firmy przy fakturze |
| Zakup bez konta (gość) | jak przy zamówieniu + identyfikator gościa w pliku cookie (30 dni); po opłaceniu tworzone jest konto techniczne dla podanego e-maila |
| Konto Sprzedawcy | dane rozliczeniowe i identyfikacyjne przekazywane do Stripe (weryfikacja KYC); adres nadania przesyłek; telefon |
| Konto Sprzedawcy — osoba fizyczna | numer PESEL i data urodzenia, wyłącznie na potrzeby sprawozdawczości DAC7; PESEL przechowywany w postaci zaszyfrowanej i przekazywany tylko Krajowej Administracji Skarbowej |
| Garaż | dane pojazdu, w tym numer VIN i zdjęcie dowodu rejestracyjnego skanowane aparatem (w celu odczytu danych pojazdu) |
| Komunikacja | wiadomości między Kupującym a Sprzedawcą, treść sporów i dowody |
| Zgłoszenia bezpieczeństwa produktów | opis zgłoszenia oraz — dobrowolnie — imię i e-mail zgłaszającego |
| Dane techniczne | adres IP (limity bezpieczeństwa), logi serwera, pliki cookie |
| Akceptacja Regulaminu | wersja i chwila akceptacji oraz adres IP i identyfikator przeglądarki w chwili akceptacji — dowód zawarcia umowy (podstawa: art. 6 ust. 1 lit. f RODO, obrona roszczeń); adres IP i przeglądarka są usuwane przy usunięciu konta |
Czego nie przetwarzamy: numerów kart płatniczych (płatności obsługuje Stripe — dane karty nie przechodzą przez nasze serwery) ani danych lokalizacyjnych ze zdjęć — metadane zdjęć (w tym GPS) są automatycznie usuwane przed publikacją, a oryginał pliku jest kasowany.
3. Cele i podstawy prawne
| Cel | Podstawa (RODO) | Okres |
|---|---|---|
| Prowadzenie konta, realizacja zamówień, zwrotów i sporów | art. 6 ust. 1 lit. b (umowa) | do zamknięcia konta (pkt 6) |
| Dokumentacja transakcji, rozliczenia, sprawozdawczość platform (DAC7) | art. 6 ust. 1 lit. c (obowiązek prawny) | 5 lat |
| Bezpieczeństwo Serwisu: limity żądań, rejestr zdarzeń, powody blokad | art. 6 ust. 1 lit. f (uzasadniony interes) | rejestr zdarzeń 2 lata |
| Rejestr zgłoszeń bezpieczeństwa produktów (GPSR) | art. 6 ust. 1 lit. c | dane zgłaszającego usuwane po roku od zamknięcia sprawy |
| Historia przeglądania ofert | art. 6 ust. 1 lit. f | 90 dni |
| Statystyka ofert i wyszukiwań (wyłącznie agregaty dobowe, pkt 8) | art. 6 ust. 1 lit. f | liczniki ofert 400 dni, frazy 180 dni |
| Powiadomienia w koncie (np. o obniżkach obserwowanych ofert) | art. 6 ust. 1 lit. f | do wyłączenia w ustawieniach |
| E-maile transakcyjne | art. 6 ust. 1 lit. b | jak transakcje; tokeny weryfikacyjne 30 dni |
4. Odbiorcy danych
- Sprzedawca — otrzymuje dane adresowe i kontaktowe Kupującego w zakresie niezbędnym do realizacji i wysyłki zamówienia.
- Podmioty przetwarzające na zlecenie Operatora: Stripe (płatności, Escrow i wypłaty; wobec danych KYC Sprzedawców także odrębny administrator), Furgonetka i przewoźnicy (etykiety i doręczenia), Cloudflare R2 (przechowywanie zdjęć po usunięciu metadanych), dostawca infrastruktury serwerowej, Resend (e-maile transakcyjne), Google Gemini (automatyczna analiza zdjęć części przy tworzeniu ofert przez Sprzedawców), OpenAI (usługa Whisper — zamiana nagrania głosowego na tekst przy wyszukiwaniu głosowym; nagranie jest przesyłane wyłącznie po naciśnięciu przycisku mikrofonu, służy tylko do transkrypcji, nie jest przez Operatora zapisywane i zgodnie z warunkami API OpenAI nie służy do trenowania modeli), Sentry (Functional Software, Inc. — raporty o błędach serwera; przed wysłaniem adresy e-mail, numery telefonów, PESEL i identyfikatory kont są maskowane).
- Dane mogą być udostępnione uprawnionym organom na podstawie przepisów prawa (w tym raportowanie DAC7 do administracji skarbowej).
- Przekazywanie poza EOG może wystąpić w ramach usług Stripe, Cloudflare, Google, OpenAI (USA) i Sentry (USA) — na podstawie decyzji stwierdzających odpowiedni stopień ochrony lub standardowych klauzul umownych.
5. Okresy przechowywania
| Dane | Okres | Powód |
|---|---|---|
| Dokumenty transakcji (zamówienia, rozliczenia, spory) | 5 lat | obowiązki księgowe i DAC7 |
| Rejestr zdarzeń bezpieczeństwa (w tym powody blokad kont) | 730 dni | rozliczalność decyzji moderacyjnych |
| Dane kontaktowe zgłaszającego w rejestrze GPSR | 365 dni od zamknięcia sprawy | korespondencja zwrotna; samo zgłoszenie zostaje jako dowód zgodności |
| Historia przeglądania | 90 dni | funkcja „ostatnio oglądane" |
| Znaczniki techniczne płatności | 90 dni | ochrona przed podwójnym przetworzeniem płatności |
| Zamknięte zadania importu ofert | 180 dni | historia dla Sprzedawcy |
| Tokeny weryfikacji e-mail | 30 dni | diagnostyka doręczeń |
| Liczniki dobowe ofert / fraz wyszukiwania | 400 / 180 dni | statystyka bez danych osobowych |
Usuwanie odbywa się automatycznie, cyklicznym procesem po stronie serwera.
6. Zamknięcie konta i prawo do usunięcia danych
- Konto można zamknąć samodzielnie w ustawieniach. Zamknięcie powoduje anonimizację danych profilowych i usunięcie danych, dla których nie ma dalszej podstawy prawnej.
- Dane wchodzące w skład dokumentacji transakcji pozostają przechowywane przez 5 lat (pkt 3) — w tym zakresie prawo do usunięcia podlega ograniczeniu z art. 17 ust. 3 lit. b RODO.
- Adresy osób, których dane są wymazywane, nie są dopisywane do żadnych rejestrów pomocniczych.
7. Pliki cookie
Serwis używa sześciu plików cookie — czterech niezbędnych, jednego zapamiętującego Twoją decyzję o cookies i jednej pary preferencji zapisywanej wyłącznie za zgodą:
| Cookie | Cel | Czas życia |
|---|---|---|
| authjs.session-token | utrzymanie zalogowania (niezbędne) | 30 dni od ostatniej aktywności |
| authjs.csrf-token, authjs.callback-url | ochrona formularza logowania i powrót po zalogowaniu (niezbędne) | do zamknięcia przeglądarki |
| guest_id | koszyk i zamówienia gościa (niezbędne) | 30 dni |
| cookie_consent | zapamiętanie Twojej odpowiedzi o cookies, w tym odmowy (niezbędne) | 12 miesięcy |
| pref_make, pref_model | rekomendacje dla ostatnio oglądanego pojazdu (preferencje — wyłącznie za zgodą) | 30 dni |
Cookies preferencji zapisujemy i odczytujemy tylko po uzyskaniu zgody wyrażonej w banerze; brak odpowiedzi traktujemy jak odmowę. Zgodę można wycofać w każdej chwili, jednym kliknięciem w Polityce cookies — wycofanie kasuje zapisane cookies preferencji. Podstawą przetwarzania jest wtedy zgoda (art. 6 ust. 1 lit. a RODO); jej wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
Serwis nie używa cookies reklamowych ani analityki śledzącej osoby — statystyka opiera się na agregatach (pkt 8). Pełny wykaz wraz z atrybutami bezpieczeństwa: Polityka cookies.
8. Prywatność w konstrukcji systemu
- Zdjęcia: metadane (EXIF, w tym GPS) są usuwane przed publikacją; oryginalny plik jest kasowany natychmiast po opublikowaniu oczyszczonej kopii.
- Wyszukiwarka: frazy zapisywane do statystyk są automatycznie czyszczone z ciągów wyglądających na numery VIN, numery rejestracyjne i inne identyfikatory; statystyki istnieją wyłącznie jako sumy dobowe dla całej platformy.
- Logi serwera: adresy e-mail i inne identyfikatory są maskowane w komunikatach diagnostycznych.
- Płatności: dane kart nie przechodzą przez serwery Operatora.
- Sekrety i poświadczenia integracji przechowywane są w postaci zaszyfrowanej (AES-256-GCM); transmisja jest szyfrowana (TLS, HSTS).
9. Prawa użytkownika
Użytkownikowi przysługują prawa: dostępu do danych, sprostowania, usunięcia (z ograniczeniem z pkt 6), ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Realizacja: ustawienia konta albo wniosek na adres management@ebuildo.pl.
Skargę można wnieść do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
10. Zmiany
O istotnych zmianach Polityki poinformujemy w Serwisie z wyprzedzeniem. Zobacz też Regulamin serwisu.
Pliki cookie
Do działania koszyka i logowania używamy plików niezbędnych — te są zawsze włączone. Osobno prosimy o zgodę na zapamiętanie oglądanego pojazdu, żeby pokazywać Ci pasujące części na stronie głównej. Nie mamy reklam ani analityki śledzącej. Szczegóły.