Polityka cookies
[SZKIC DO WERYFIKACJI PRZEZ PRAWNIKA — D72] Treść przygotowana na podstawie przepisów i wytycznych wymienionych na końcu dokumentu. Wiążąca jest wersja polska.
Kto odpowiada za pliki cookies
Administratorem danych i podmiotem zapisującym pliki cookies na stronie jest Rafal Raczkowski IT Services (Rafał Raczkowski, NIP 567 185 37 49), ul. Ostródzka 195E/11, 03-289 Warszawa, e-mail kontakt@svalcon.pl (dane w stopce strony). Szczegóły przetwarzania danych osobowych — w polityce prywatności.
Czym są pliki cookies i podobne technologie
Pliki cookies to małe pliki tekstowe zapisywane przez przeglądarkę. Podobnie działają pamięć lokalna przeglądarki (localStorage) i pamięć karty (sessionStorage). Zapisanie informacji na Twoim urządzeniu albo odczytanie jej wymaga Twojej zgody, chyba że jest niezbędne do świadczenia usługi, o którą prosisz (art. 399 ustawy — Prawo komunikacji elektronicznej).
Kategorie i Twoja zgoda
- Niezbędne — działają zawsze, bez zgody: zapamiętanie Twojej decyzji o cookies, logowanie do konta (Svalcon ID), zabezpieczenia. Koszyk, wybrany język i szkic konfiguracji też działają bez zgody, ale tylko do zamknięcia przeglądarki.
- Funkcjonalne — za zgodą: koszyk zapamiętany na 30 dni, język na 12 miesięcy, szkic konfiguracji po zamknięciu przeglądarki.
- Analityczne — za zgodą: statystyki Google Analytics 4 i źródło wizyty (utm_*) przy zapytaniu i zamówieniu.
- Marketingowe — za zgodą: pomiar skuteczności reklam Google Ads, konwersje rozszerzone (zaszyfrowany skrót adresu e-mail przy zamówieniu), identyfikator kliknięcia reklamy (gclid). Personalizację reklam (remarketing) włączasz osobnym przełącznikiem.
Przy pierwszej wizycie pytamy o zgodę w banerze. Przyciski „Akceptuj wszystkie” i „Odrzuć wszystkie” są równorzędne, a w „Ustawieniach” każda kategoria opcjonalna jest domyślnie wyłączona. Brak decyzji oznacza brak zgody — strona działa wtedy w pełni, tylko bez plików opcjonalnych. Jeśli Twoja przeglądarka wysyła sygnał Global Privacy Control, przycisk „Akceptuj wszystkie” nie włącza marketingu.
Zmiana i wycofanie zgody
Zgodę zmienisz lub wycofasz w każdej chwili — link „Ustawienia cookies” w stopce każdej strony albo strona /cookies. Wycofanie działa od razu: usuwamy pliki z wyłączonych kategorii (np. _ga, _ga_*, _gcl_*), ustawiamy sygnały Google Consent Mode na „odmowa” i przestajemy wysyłać zdarzenia. Pliki zapisane przez Google w jego własnych domenach (np. doubleclick.net) usuniesz w ustawieniach przeglądarki. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem.
Jak długo pamiętamy decyzję
Zgoda jest ważna 12 miesięcy, a odmowa — 6 miesięcy; potem zapytamy ponownie. Zapytamy też wcześniej, jeśli zmienimy listę kategorii lub dostawców (nowa wersja konfiguracji). Każda decyzja dostaje losowy identyfikator zgody — widzisz go na stronie „Ustawienia cookies”.
Google Consent Mode v2
Sklep korzysta z trybu zgody Google. W trybie podstawowym (domyślnym) tagi Google nie są wczytywane, dopóki nie wyrazisz zgody — bez zgody do Google nie trafia żadne żądanie. Kategorie przekładamy na sygnały: analityczne → analytics_storage; marketingowe → ad_storage, ad_user_data, ad_personalization (ten ostatni tylko z personalizacją reklam); funkcjonalne → functionality_storage, personalization_storage; security_storage — zawsze.
Rejestr zgód
Zapisujemy każdą decyzję w rejestrze zgód, żeby móc wykazać, że zgoda została wyrażona (art. 7 ust. 1 RODO): identyfikator zgody, wersję, wybrane kategorie, rodzaj decyzji, datę, język, sygnał GPC, skróty (HMAC) obciętego adresu IP i przeglądarki — bez pełnego adresu IP — oraz powiązanie z kontem, jeśli jesteś zalogowany. Rekordy przechowujemy 3 lata, potem są usuwane automatycznie.
Lista plików
Tabela poniżej jest generowana z rejestru plików w kodzie sklepu, więc zawsze odpowiada temu, co strona faktycznie zapisuje.
Niezbędne
Bez nich strona nie zadziała: zapamiętanie Twojej decyzji o cookies, logowanie do konta, zabezpieczenia. Koszyk, język i szkic konfiguracji działają bez zgody do zamknięcia przeglądarki.
| Nazwa | Dostawca | Cel | Czas | Rodzaj | Poza EOG |
|---|---|---|---|---|---|
rz_consent | Svalcon (administrator) | Zapamiętuje Twój wybór w sprawie cookies (kategorie, wersja, data, identyfikator zgody). | 12 miesięcy (odmowa: 6 miesięcy) | cookie, własne | nie |
svalcon_account | Svalcon (administrator) | Sesja konta klienta po zalogowaniu (Moje zamówienia). | 30 dni | cookie, własne | nie |
svalcon_account_idt | Svalcon (administrator) | Token logowania Svalcon ID potrzebny do wylogowania. | 30 dni | cookie, własne | nie |
svalcon_oidc | Svalcon (administrator) | Zabezpieczenie logowania (stan i weryfikator PKCE) na czas przejścia do Svalcon ID. | 10 min | cookie, własne | nie |
rz_admin | Svalcon (administrator) | Sesja panelu sklepu (tylko pracownicy). | 12 h | cookie, własne | nie |
AUTH_SESSION_ID | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Bieżący proces logowania w Svalcon ID. | sesja przeglądarki | cookie, własne | nie |
KC_AUTH_SESSION_HASH | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Wykrywanie logowania w kilku kartach jednocześnie. | 1 min | cookie, własne | nie |
KC_RESTART | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Wznowienie logowania po wygaśnięciu formularza. | sesja przeglądarki | cookie, własne | nie |
KEYCLOAK_IDENTITY | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Sesja logowania Svalcon ID (z „Zapamiętaj mnie” do 30 dni). | sesja przeglądarki | cookie, własne | nie |
KEYCLOAK_SESSION | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Identyfikator sesji Svalcon ID (wylogowanie we wszystkich aplikacjach). | sesja przeglądarki | cookie, własne | nie |
KEYCLOAK_LOCALE | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Język stron logowania wybrany w trakcie logowania. | sesja przeglądarki | cookie, własne | nie |
KEYCLOAK_REMEMBER_ME | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Tylko po zaznaczeniu „Zapamiętaj mnie”: podpowiedź adresu e-mail przy kolejnym logowaniu. | 1 rok | cookie, własne | nie |
KC_STATE_CHECKER | Svalcon ID (Keycloak, własny serwer) (domena auth.svalcon.pl) | Ochrona formularzy Svalcon ID przed atakiem CSRF. | sesja przeglądarki | cookie, własne | nie |
Funkcjonalne
Zapamiętanie koszyka (30 dni), wybranego języka i szkicu konfiguracji rozdzielnicy także po zamknięciu przeglądarki.
| Nazwa | Dostawca | Cel | Czas | Rodzaj | Poza EOG |
|---|---|---|---|---|---|
svalcon_cart | Svalcon (administrator) | Koszyk. Bez zgody — do zamknięcia przeglądarki; ze zgodą zapamiętany przez 30 dni. | 30 dni | cookie, własne | nie |
rozdzielnice.konfigurator.draft.v1 | Svalcon (administrator) | Szkic konfiguracji rozdzielnicy. Bez zgody — w pamięci karty (sessionStorage); ze zgodą zostaje po zamknięciu przeglądarki. | do usunięcia (pamięć przeglądarki) | localStorage, własne | nie |
NEXT_LOCALE | Svalcon (administrator) | Język wybrany przełącznikiem. Bez zgody — do zamknięcia przeglądarki; ze zgodą przez rok. | 1 rok | cookie, własne | nie |
svalcon_lang_hint | Svalcon (administrator) | Zamknięta podpowiedź wersji językowej. Bez zgody — do zamknięcia przeglądarki. | 1 rok | cookie, własne | nie |
Analityczne
Statystyki odwiedzin i korzystania z konfiguratora (Google Analytics 4) — pomagają ulepszać sklep. Dane przekazywane Google.
| Nazwa | Dostawca | Cel | Czas | Rodzaj | Poza EOG |
|---|---|---|---|---|---|
_ga | Google Ireland Ltd. / Google LLC | Google Analytics 4: odróżnia użytkowników (losowy identyfikator). | 2 lata | cookie, własne | Możliwe przekazanie do USA (Google LLC) — EU-US Data Privacy Framework i standardowe klauzule umowne (do weryfikacji przez prawnika). |
_ga_<ID> | Google Ireland Ltd. / Google LLC | Google Analytics 4: stan sesji (numer i początek wizyty). | 2 lata | cookie, własne | Możliwe przekazanie do USA (Google LLC) — EU-US Data Privacy Framework i standardowe klauzule umowne (do weryfikacji przez prawnika). |
rz_utm | Svalcon (administrator) | Źródło wizyty (utm_*) przy zapytaniu i zamówieniu. Identyfikatory kliknięcia reklamy (gclid, fbclid) — tylko ze zgodą marketingową. | 30 dni | cookie, własne | nie |
rz_once:* | Svalcon (administrator) | Zapobiega podwójnemu liczeniu zdarzeń (np. leadu po odświeżeniu strony). | do usunięcia (pamięć przeglądarki) | localStorage, własne | nie |
rz_ga_debug | Svalcon (administrator) | Tryb diagnostyczny pomiaru (parametr ?ga_debug=1, dla zespołu). | sesja przeglądarki | sessionStorage, własne | nie |
svalcon_internal | Svalcon (administrator) | Tylko urządzenia pracowników: oznacza ruch wewnętrzny, żeby nie zaburzał statystyk. | 1 rok | cookie, własne | nie |
Marketingowe
Pomiar skuteczności reklam Google Ads, w tym konwersje rozszerzone (zaszyfrowany skrót e-maila przy zamówieniu). Dane przekazywane Google.
| Nazwa | Dostawca | Cel | Czas | Rodzaj | Poza EOG |
|---|---|---|---|---|---|
_gcl_au | Google Ireland Ltd. / Google LLC | Google Ads: pomiar konwersji (łączy wizytę z kliknięciem reklamy). | 90 dni | cookie, własne | Możliwe przekazanie do USA (Google LLC) — EU-US Data Privacy Framework i standardowe klauzule umowne (do weryfikacji przez prawnika). |
_gcl_aw / _gcl_gs / _gcl_* | Google Ireland Ltd. / Google LLC | Google Ads: identyfikator kliknięcia reklamy (gclid) do przypisania konwersji. | 90 dni | cookie, własne | Możliwe przekazanie do USA (Google LLC) — EU-US Data Privacy Framework i standardowe klauzule umowne (do weryfikacji przez prawnika). |
IDE | Google Ireland Ltd. / Google LLC (domena .doubleclick.net) | Google: remarketing i personalizacja reklam (tylko ze zgodą na personalizację reklam). | 13 miesięcy | cookie, zewnętrzne | Możliwe przekazanie do USA (Google LLC) — EU-US Data Privacy Framework i standardowe klauzule umowne (do weryfikacji przez prawnika). |
test_cookie | Google Ireland Ltd. / Google LLC (domena .doubleclick.net) | Google: sprawdza, czy przeglądarka przyjmuje cookies reklamowe. | 15 min | cookie, zewnętrzne | Możliwe przekazanie do USA (Google LLC) — EU-US Data Privacy Framework i standardowe klauzule umowne (do weryfikacji przez prawnika). |
Tabela generowana z rejestru plików w kodzie sklepu — wersja konfiguracji zgód 1.1-fam.
Podstawy prawne i wytyczne
- Rozporządzenie (UE) 2016/679 (RODO) — art. 4 pkt 11 (definicja zgody), art. 7 (warunki zgody, w tym ust. 3: wycofanie zgody równie łatwe jak jej wyrażenie), motyw 32.
- Ustawa z 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), art. 399 (zastąpił art. 173 Prawa telekomunikacyjnego od 10.11.2024) i art. 400.
- Wyrok TSUE z 1.10.2019 r., C-673/17 Planet49 — zgoda nie może wynikać z domyślnie zaznaczonego pola.
- Wytyczne EROD 05/2020 w sprawie zgody na mocy rozporządzenia 2016/679; raport EROD z prac grupy zadaniowej ds. banerów cookies (17.01.2023); wytyczne EROD 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej.
- Polityka Google dotycząca zgody użytkownika z UE (EU User Consent Policy).