Polityka prywatności

Polityka prywatności obowiązuje od 27 września 2026 r.

1. Administrator danych

Administratorem danych osobowych jest:

„NATURAL FLOW” Maja Ławicka ul. Kazimierza Porębskiego 9 lok. 20, 80-180 Gdańsk NIP: 5841090151 REGON: 191817632

Kontakt w sprawach dotyczących danych osobowych:

• e-mail: maja@natural-flow.pl,
• telefon: 881 600 151,
• korespondencyjnie: na adres wskazany powyżej.

Polityka uwzględnia w szczególności rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”) oraz ustawę z 12 lipca 2024 r. - Prawo komunikacji elektronicznej („PKE”).

2. Kogo dotyczy polityka i skąd pochodzą dane

Polityka dotyczy osób, które:

• odwiedzają natural-flow.pl,
• kontaktują się ze mną przez formularz, e-mail lub telefon,
• rezerwują sesję, szkolenie, klasę albo inne wydarzenie,
• kupują produkt lub usługę, w tym na raty,
• zamawiają materiał bezpłatny lub zapisują się na newsletter,
• uczestniczą w spotkaniach online,
• przekazują opinię albo zgodę na wykorzystanie wizerunku,
• są rodzicami lub opiekunami uczestnika niepełnoletniego albo same uczestniczą w usłudze jako osoby niepełnoletnie.

Podanie danych jest dobrowolne, ale brak danych potrzebnych do kontaktu, rezerwacji, płatności albo realizacji umowy może uniemożliwić wykonanie danej czynności. Nie podawaj w formularzach danych, które nie są potrzebne do realizacji wybranego celu, w szczególności szczegółowej dokumentacji medycznej.

3. Cele, podstawy i okresy przetwarzania

3.1. Kontakt

Formularze na stronie są obsługiwane przez Fluent Forms lub Elementor. Zgłoszenie może zostać zapisane w bazie WordPress na serwerze Administratora i przesłane na skrzynkę e-mail.

Zakres danych: imię, adres e-mail, numer telefonu, treść i data wiadomości oraz inne informacje podane dobrowolnie.

Cel i podstawa:

• udzielenie odpowiedzi, przygotowanie oferty lub podjęcie działań przed zawarciem umowy - art. 6 ust. 1 lit. b RODO,
• prowadzenie korespondencji, zapewnienie jej ciągłości oraz obrona przed roszczeniami - art. 6 ust. 1 lit. f RODO.

Okres: do zakończenia korespondencji, a później przez czas potrzebny do wykazania jej przebiegu albo do upływu właściwego terminu przedawnienia roszczeń. Wiadomości, które nie są już potrzebne, są usuwane w ramach okresowych porządków.

3.2. Rezerwacje i realizacja usług

Rezerwacje obsługuje Amelia działająca w środowisku WordPress na serwerze Administratora. Jeżeli rezerwacja wymaga płatności online, dane potrzebne do utworzenia zamówienia trafiają do WooCommerce, a dane potrzebne do obsługi płatności - do PayU.

Zakres danych: imię i nazwisko, adres e-mail, numer telefonu, wybrana usługa i termin, informacje organizacyjne podane w uwagach, status płatności, informacje o uczestnictwie oraz dane potrzebne do wystawienia dokumentu dotyczącego usługi.

Cel i podstawa:

• przyjęcie rezerwacji, kontakt organizacyjny i wykonanie usługi - art. 6 ust. 1 lit. b RODO,
• rozliczenia podatkowe i rachunkowe - art. 6 ust. 1 lit. c RODO,
• ustalenie, dochodzenie lub obrona roszczeń oraz przeciwdziałanie nadużyciom - art. 6 ust. 1 lit. f RODO.

Okres: przez czas realizacji usługi, a następnie do upływu właściwych terminów przedawnienia. Dokumenty podatkowe i księgowe przechowuję przez okres wymagany przepisami.

3.3. Rejestracja uczestników klas Access Consciousness

Klasy Access Consciousness prowadzę jako certyfikowana facylitatorka. Warunkiem przeprowadzenia klasy i uznania udziału jest rejestracja uczestnika w systemie Access Consciousness. W tym celu przekazuję Access Consciousness LLC z siedzibą w Stanach Zjednoczonych dane uczestnika potrzebne do rejestracji.

Zakres danych: imię i nazwisko, adres e-mail, [numer telefonu, kraj i miasto - do potwierdzenia], nazwa, data i miejsce klasy oraz informacja o uczestnictwie.

Cel i podstawa: rejestracja uczestnictwa w klasie i potwierdzenie jej ukończenia, co jest niezbędne do wykonania umowy - art. 6 ust. 1 lit. b RODO.

Access Consciousness LLC przetwarza otrzymane dane jako odrębny administrator, na zasadach opisanych we własnej polityce prywatności. Podczas klasy uczestnicy dodatkowo samodzielnie podpisują dokumenty Access Consciousness. O przekazywaniu danych poza EOG - pkt 6.

Okres: po mojej stronie - jak w pkt 3.2. Okres przechowywania danych przez Access Consciousness LLC określa jej polityka prywatności.

3.4. Zamówienia, płatności, raty, faktury, reklamacje i zwroty

Sklep i ścieżki zakupowe działają z wykorzystaniem WooCommerce oraz CartFlows na serwerze Administratora.

Zakres danych: imię i nazwisko, adres e-mail, numer telefonu, adres, dane firmy i NIP, treść i wartość zamówienia, status płatności oraz dane dotyczące reklamacji, odstąpienia lub zwrotu.

Cel i podstawa:

• zawarcie i wykonanie umowy - art. 6 ust. 1 lit. b RODO,
• wykonanie obowiązków podatkowych, rachunkowych i konsumenckich - art. 6 ust. 1 lit. c RODO,
• przeciwdziałanie nadużyciom oraz ustalenie, dochodzenie lub obrona roszczeń - art. 6 ust. 1 lit. f RODO.

Płatności online, w tym BLIK, obsługuje PayU S.A. Dane karty lub dane logowania do banku podajesz bezpośrednio operatorowi płatności. Nie otrzymuję ich ani nie przechowuję. PayU działa jako odrębny administrator w zakresie własnych usług płatniczych.

Raty: jeżeli wybierzesz zakup na raty, wniosek ratalny składasz bezpośrednio u PayU S.A. lub współpracującego z nim kredytodawcy. To on przetwarza dane potrzebne do oceny wniosku i zawarcia umowy o kredyt, jako odrębny administrator, na zasadach opisanych w swojej polityce prywatności. Nie otrzymuję informacji z oceny wniosku - jedynie potwierdzenie płatności.

Zakup a newsletter: sam zakup produktu lub usługi nie oznacza zapisu do newslettera. Dane kupującego są przekazywane do MailerLite jako dane odbiorcy marketingowego tylko wtedy, gdy kupujący zaznaczy dobrowolny i niezaznaczony domyślnie checkbox zgody. Brak zgody nie wpływa na możliwość dokonania zakupu. Wiadomości niezbędne do realizacji zamówienia, płatności, dostępu do produktu albo wykonania usługi mogą być wysyłane bez zgody marketingowej na podstawie umowy.

Dane z dokumentów księgowych mogą otrzymywać biuro rachunkowe oraz organy lub systemy publiczne, jeżeli wynika to z przepisów, w tym Krajowy System e-Faktur.

Okres: dane związane z umową i reklamacją - do upływu właściwych terminów przedawnienia; dokumentacja księgowa i podatkowa - przez okres wymagany przepisami.

3.5. Materiały bezpłatne i newsletter

Udostępnienie materiału bezpłatnego i zapis na marketingowy newsletter są odrębnymi czynnościami.

W celu dostarczenia zamówionego materiału przetwarzam adres e-mail, imię, informację o wybranym materiale oraz dane techniczne jego wysłania. Podstawą jest wykonanie zamówionej usługi - art. 6 ust. 1 lit. b RODO. Dane są przechowywane przez czas potrzebny do dostarczenia materiału i rozwiązania ewentualnych problemów z dostępem, a następnie usuwane, chyba że istnieje inna podstawa ich dalszego przetwarzania.

W celu wysyłki newslettera i ofert przetwarzam adres e-mail, imię, źródło zapisu, informację o zgodzie oraz techniczne informacje o dostarczeniu wiadomości. Podstawą przetwarzania jest zgoda - art. 6 ust. 1 lit. a RODO - oraz uprzednia zgoda wymagana przez art. 398 PKE.

Newsletter obsługuje UAB „MailerLite” z siedzibą na Litwie. MailerLite może rejestrować techniczne informacje o dostarczeniu wiadomości, jej otwarciu i kliknięciu w link. Informacje te wykorzystuję w niezbędnym zakresie do zapewnienia prawidłowej wysyłki, bezpieczeństwa oraz podstawowej oceny skuteczności newslettera. Nie podejmuję na ich podstawie decyzji wywołujących wobec Ciebie skutki prawne lub podobnie istotne skutki.

Zgodę możesz wycofać linkiem „wypisz się” w każdej wiadomości albo pisząc na maja@natural-flow.pl. Po wypisaniu minimalna informacja o adresie może pozostać na liście wykluczeń, aby nie wysłać kolejnej wiadomości marketingowej i móc wykazać wykonanie rezygnacji - art. 6 ust. 1 lit. f RODO.

Okres: do wycofania zgody, wniesienia sprzeciwu albo zakończenia prowadzenia newslettera.

3.6. Spotkania online i nagrania

Spotkania online mogą odbywać się przez Zoom. Przy korzystaniu z tej usługi Zoom może przetwarzać nazwę uczestnika, adres e-mail, adres IP, dane urządzenia i połączenia oraz treści udostępniane podczas spotkania.

Podstawą przetwarzania danych potrzebnych do przeprowadzenia spotkania jest wykonanie umowy - art. 6 ust. 1 lit. b RODO.

Jeżeli opis konkretnej usługi przewiduje przekazanie uczestnikowi nagrania jako element usługi, informacja o nagrywaniu, zakresie nagrania i zasadach dostępu jest przekazywana przed zawarciem umowy. W innych przypadkach rozpoznawalny głos lub wizerunek uczestnika nie są nagrywane bez osobnej podstawy prawnej, w szczególności bez uprzedniej zgody, gdy jest ona wymagana. Nagranie jest przechowywane przez okres wskazany w opisie usługi lub informacji przekazanej przed rozpoczęciem nagrywania.

3.7. Opinie i wizerunek

Opinię, zdjęcie, nagranie albo inne informacje pozwalające rozpoznać osobę publikuję na stronie lub w materiałach promocyjnych na podstawie dobrowolnej zgody - art. 6 ust. 1 lit. a RODO - chyba że w konkretnym przypadku prawo pozwala na wykorzystanie materiału bez zgody.

Zgoda powinna wskazywać cel i kanały publikacji. Możesz ją wycofać, pisząc na maja@natural-flow.pl. Po wycofaniu zaprzestanę nowych publikacji i usunę materiał z kanałów pozostających pod moją kontrolą, o ile nie istnieje inna podstawa dalszego przetwarzania. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego wykorzystania.

3.8. Uczestnicy niepełnoletni

Jeżeli opis konkretnej usługi dopuszcza udział osoby niepełnoletniej, rezerwacji dokonuje rodzic lub opiekun albo udział następuje za jego zgodą, odpowiednio do wieku uczestnika i rodzaju usługi.

Przetwarzam wyłącznie dane potrzebne do rezerwacji, kontaktu organizacyjnego i bezpiecznej realizacji usługi, w szczególności imię i nazwisko uczestnika, informację o wieku, dane rodzica lub opiekuna oraz informacje organizacyjne. Zgoda na udział nie oznacza zgody na publikację wizerunku. Nie prowadzę marketingu bezpośredniego do osoby niepełnoletniej bez odpowiedniej podstawy prawnej.

3.9. Login, bezpieczeństwo i kopie zapasowe

Serwer może automatycznie zapisywać adres IP, datę i godzinę żądania, adres wywołanej strony, rodzaj przeglądarki, system operacyjny oraz informacje o błędach.

Przetwarzam te dane w celu zapewnienia działania i bezpieczeństwa strony, diagnostyki błędów, wykonywania kopii zapasowych i przeciwdziałania nadużyciom - art. 6 ust. 1 lit. f RODO. Logi są przechowywane przez okres wynikający z konfiguracji hostingu i potrzeb bezpieczeństwa, nie dłużej niż jest to potrzebne, chyba że konkretny zapis musi zostać zachowany w związku z incydentem lub roszczeniem.

Kopie zapasowe tworzone przez UpdraftPlus są obecnie przechowywane na serwerze hostingowym, bez skonfigurowanego zewnętrznego magazynu chmurowego. Są usuwane w ramach rotacji kopii, chyba że zachowanie konkretnej kopii jest potrzebne do odtworzenia danych, wyjaśnienia incydentu lub obrony roszczeń.

4. Cookies i podobne technologie

4.1. Czym są cookies

Cookies to informacje zapisywane w przeglądarce lub odczytywane z urządzenia. Strona może korzystać także z podobnych technologii, np. pamięci lokalnej przeglądarki, identyfikatorów i pikseli.

4.2. Zgoda

Przy pierwszej wizycie wyświetlany jest panel CookieYes, który pozwala zaakceptować, odrzucić albo skonfigurować technologie opcjonalne. Opcjonalne kategorie nie powinny być zaznaczone domyślnie. Odmowa nie ogranicza dostępu do podstawowej treści strony.

Technologie ściśle niezbędne do działania strony lub dostarczenia funkcji wybranej przez użytkownika mogą działać bez zgody w granicach wyjątku przewidzianego w PKE. Analityka i reklama są uruchamiane dopiero po uzyskaniu odpowiedniej zgody. Jeżeli dane pozyskane przez daną technologię są danymi osobowymi, podstawą ich przetwarzania jest odpowiednio art. 6 ust. 1 lit. a, b albo f RODO.

4.3. Używane kategorie i narzędzia

Aktualny wykaz konkretnych plików cookies, dostawców i okresów jest dostępny w panelu ustawień zgody na stronie.

4.4. Google Analytics i Meta Pixel

Google Analytics może otrzymywać identyfikatory urządzenia, informacje o przeglądarce, aktywności oraz adresie IP i tworzy dla mnie raporty dotyczące korzystania ze strony.

Meta Pixel może rejestrować odwiedzenie strony i wykonanie określonej czynności, np. zapis, dodanie usługi do koszyka albo zakup. Służy to pomiarowi reklam oraz tworzeniu grup odbiorców. W zakresie określonych działań związanych z pikselem i reklamami mogę działać z Meta Platforms Ireland Limited jako współadministrator.

Google Analytics działa dopiero po zgodzie analitycznej, a Meta Pixel - po zgodzie reklamowej. Zgoda na analitykę nie oznacza zgody na reklamę.

4.5. Google Fonts

Strona pobiera czcionki z serwerów Google. Przy pobieraniu Google może otrzymać adres IP oraz podstawowe dane techniczne przeglądarki. Celem jest prawidłowe i spójne wyświetlanie strony, a podstawą po mojej stronie jest art. 6 ust. 1 lit. f RODO. Google Fonts nie służą do zapisywania cookies w przeglądarce.

4.6. Zmiana lub wycofanie zgody

Zgodę możesz w każdej chwili zmienić albo wycofać za pomocą ikony ustawień cookies widocznej na stronie. Możesz również usunąć cookies w ustawieniach przeglądarki. Zablokowanie technologii niezbędnych może spowodować, że koszyk, rezerwacja albo inne zamówione funkcje nie będą działać prawidłowo.

5. Odbiorcy danych

Dane mogą otrzymywać wyłącznie podmioty potrzebne do realizacji opisanych wyżej celów:

Amelia, Fluent Forms, Elementor, WooCommerce, CartFlows, UpdraftPlus i WP Mail SMTP działają obecnie w środowisku WordPress na hostingu Administratora. Sam fakt użycia wtyczki nie oznacza przekazania danych jej producentowi. WP Mail SMTP korzysta obecnie z domyślnej wysyłki WordPressa, bez skonfigurowanego zewnętrznego operatora SMTP.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Korzystanie z Google, Meta, Zoom oraz niektórych podwykonawców MailerLite lub CookieYes może wiązać się z dostępem do danych spoza Europejskiego Obszaru Gospodarczego.

Dane uczestników klas Access Consciousness są przekazywane do Access Consciousness LLC w Stanach Zjednoczonych, ponieważ bez rejestracji w tym systemie nie mogę przeprowadzić klasy ani potwierdzić jej ukończenia.

W takich przypadkach odbiorca powinien stosować mechanizm dopuszczony przez RODO, np. decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony, certyfikację w ramach EU-US Data Privacy Framework - jeżeli obejmuje właściwego odbiorcę - albo standardowe klauzule umowne wraz z wymaganymi zabezpieczeniami dodatkowymi. Jeżeli żaden z tych mechanizmów nie ma zastosowania, przekazanie danych uczestnika klasy następuje dlatego, że jest niezbędne do wykonania umowy zawartej z Tobą (art. 49 ust. 1 lit. b RODO).

Informację o mechanizmie właściwym dla konkretnego odbiorcy możesz uzyskać, pisząc na maja@natural-flow.pl.

7. Profilowanie i zautomatyzowane decyzje

Jeżeli wyrazisz zgodę na analitykę lub reklamę, informacje o korzystaniu ze strony mogą służyć do pomiaru skuteczności treści i reklam oraz przypisania urządzenia do grupy odbiorców.

Nie podejmuję wobec Ciebie wyłącznie zautomatyzowanych decyzji, które wywoływałyby skutki prawne albo wpływały na Ciebie w podobnie istotny sposób w rozumieniu art. 22 RODO. Zgodę na analitykę i reklamę możesz wycofać w ustawieniach cookies, a wobec marketingu bezpośredniego możesz w każdej chwili wnieść sprzeciw.

8. Twoje prawa

W zależności od podstawy i okoliczności masz prawo do:

• dostępu do danych i uzyskania ich kopii,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• bezwarunkowego sprzeciwu wobec marketingu bezpośredniego,
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Prawo do usunięcia danych nie jest bezwzględne. Dane mogą być nadal przechowywane, jeżeli jest to konieczne do wykonania obowiązku prawnego albo ustalenia, dochodzenia lub obrony roszczeń.

Wniosek możesz wysłać na maja@natural-flow.pl. Odpowiem bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Jeżeli będzie to potrzebne do ochrony danych, mogę poprosić o informacje pozwalające potwierdzić tożsamość.

9. Bezpieczeństwo danych

Stosuję środki techniczne i organizacyjne odpowiednie do ryzyka, w tym szyfrowane połączenie ze stroną, kontrolę dostępu, aktualizacje, kopie zapasowe i zobowiązania do poufności. Środki te są oceniane i dostosowywane do aktualnego ryzyka.

10. Zmiany polityki

Polityka może zostać zaktualizowana po zmianie prawa, oferty, dostawców albo technologii używanych na stronie. Nowa wersja obowiązuje od daty wskazanej na początku dokumentu.

Jeżeli uruchomię nową wtyczkę, integrację, pop-up, narzędzie reklamowe albo analityczne, które zacznie przetwarzać dane, polityka i ustawienia CookieYes zostaną zaktualizowane przed jego uruchomieniem. Narzędzia wyłączone i nieprzetwarzające danych nie są wymieniane jako aktualnie używane.