Polityka prywatności i plików cookies

Joga Twarzy, wersja z 21 października 2026 r.

W tym dokumencie wyjaśniamy, kto odpowiada za Twoje dane osobowe w serwisie internetowym „Joga Twarzy”, na którym sprzedajemy kurs wideo „Joga Twarzy” (dalej: strona). Piszemy też, jakie dane zbieramy i po co, jak długo je przechowujemy, komu je przekazujemy i jakie masz prawa. Strona składa się ze strony sprzedażowej, koszyka, strony podziękowania oraz podstron z Regulaminem (/regulamin) i tą polityką (/polityka-prywatnosci). Opisujemy też pliki cookies i podobne technologie, z których korzysta strona.

W skrócie: Administratorem jest SOPORIUM SUPLEMENTY DIETY sp. z o.o. Dane z zamówienia wykorzystujemy do realizacji zamówienia, płatności przez Tpay i rozliczeń. Chodzi o e-mail, imię i nazwisko oraz dane do faktury, jeśli poprosisz o fakturę. Meta Pixel, narzędzie reklamowe Facebooka i Instagrama, działa automatycznie na stronie sprzedażowej i na stronie podziękowania, bez pytania o zgodę, i zapisuje pliki cookies Meta. Możesz go zablokować w przeglądarce i możesz się sprzeciwić wykorzystywaniu Twoich danych do reklam (pkt 12.3 i 13). Statystyki odwiedzin platformy Lovable (w tym plik cookie session-id) działają automatycznie od wczytania strony, bez pytania o zgodę. Możesz je zablokować w przeglądarce i możesz się im sprzeciwić (pkt 12.4 i 13). Masz prawo między innymi do dostępu do danych, ich usunięcia i sprzeciwu. Napisz: kontakt@soporium.pl.

1. Administrator danych

Administratorem Twoich danych osobowych jest:

SOPORIUM SUPLEMENTY DIETY spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie
ul. Nowogrodzka 64 lok. 43, 02-014 Warszawa
KRS 0001213939 (Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego)
NIP 7011292725, REGON 543592247, kapitał zakładowy 10 000,00 zł

W dalszej części piszemy o nim „my”. Jesteśmy sprzedawcą kursu wideo „Joga Twarzy” oraz e-booka „Plan Wyzwania 30 dni”, gdy jest on dostępny w koszyku. Zasady sprzedaży opisuje Regulamin, dostępny na stronie pod adresem /regulamin.

2. Kontakt w sprawach danych osobowych

e-mail: kontakt@soporium.pl
telefon: +48 789 319 164
list: SOPORIUM SUPLEMENTY DIETY sp. z o.o., ul. Nowogrodzka 64 lok. 43, 02-014 Warszawa

Nie wyznaczyliśmy inspektora ochrony danych. W sprawach dotyczących danych osobowych najszybciej odpowiadamy na wiadomości wysłane na kontakt@soporium.pl.

3. Jakie dane przetwarzamy i skąd je mamy

Większość danych podajesz nam sam(a) w formularzu zamówienia albo w wiadomości do nas. Część przesyła automatycznie Twoja przeglądarka. Od Tpay dostajemy informacje o płatności, opisane w tabeli niżej. Danych logowania do Twojego banku ani PIN-u nie poznajemy.

Sytuacja	Dane
Przeglądanie strony	adres IP, data i godzina wejścia, adres odwiedzanej podstrony, informacje o przeglądarce i urządzeniu (przeglądarka wysyła je automatycznie przy każdym wejściu na stronę)
Złożenie zamówienia	e-mail, imię i nazwisko, wybrane produkty (kurs, opcjonalnie Plan Wyzwania 30 dni), wybrana metoda płatności (BLIK albo Tpay), numer zamówienia, informacja o akceptacji Regulaminu z datą, godziną i wersją tekstu oraz informacje o przeglądarce (tzw. user agent), z której złożono zamówienie
Faktura (tylko jeśli poprosisz o nią e-mailem po zakupie)	dane, które podasz do faktury: przy fakturze na firmę NIP, nazwa firmy i adres
Płatność BLIK na naszej stronie	6-cyfrowy kod BLIK, adres IP i informacje o przeglądarce. Przekazujemy je od razu do Tpay. Kodu BLIK nie zapisujemy (pkt 5).
Płatność (dane od Tpay)	status płatności, identyfikator transakcji, kwota, kwota faktycznie zapłacona, data zapłaty i e-mail płatnika (z powiadomienia Tpay). Przy nieudanej płatności BLIK dostajemy też kod przyczyny, np. „odrzucona w aplikacji banku” albo „brak środków”.
Dostęp do kursu	e-mail, imię i nazwisko oraz numer zamówienia, potrzebne do udostępnienia kursu i Planu; dowody dostarczenia, czyli data i godzina wysłania wiadomości z dostępem. Jeśli do korzystania z kursu trzeba się zalogować, także dane konta na platformie z nagraniami oraz daty logowań.
Kontakt z nami (np. pytanie, odstąpienie od umowy, gwarancja, reklamacja)	e-mail, treść wiadomości i dane, które sam(a) podasz (np. numer zamówienia). Numer rachunku tylko wtedy, gdy Tpay nie może zwrócić pieniędzy na rachunek, z którego zapłacono, albo gdy sam(a) wybierzesz inny sposób zwrotu.
Statystyki odwiedzin (automatycznie przy wczytaniu każdej podstrony, bez pytania o zgodę, pkt 12.4)	skrypt `/~flock.js`: losowy identyfikator sesji z pliku cookie `session-id`, data i godzina wyświetlenia podstrony, pełny adres podstrony (razem z parametrami w adresie, np. `utm_source` albo `fbclid`), adres strony, z której do nas przyszedłeś/przyszłaś (referrer), informacje o przeglądarce i urządzeniu (user agent), język przeglądarki, kraj ustalony na podstawie strefy czasowej ustawionej w przeglądarce, adres IP; *skrypt `/__l5e/events..js`:** wyświetlenia podstron, domena i ścieżka strony, z której do nas przyszedłeś/przyszłaś, parametry UTM z adresu, informacja, czy w adresie jest identyfikator kliknięcia reklamy (`gclid` albo `fbclid`), błędy strony, dane o zaangażowaniu na stronie, losowy identyfikator sesji trzymany tylko w pamięci otwartej strony, adres IP
Meta Pixel (automatycznie na stronie sprzedażowej i na stronie podziękowania, bez pytania o zgodę; nie działa w koszyku ani na podstronach z Regulaminem i tą polityką, pkt 12.3)	identyfikatory z plików cookies Meta, adres odwiedzonej strony, adres strony, z której do nas przyszedłeś/przyszłaś (referrer), zdarzenia na stronie (wyświetlenie strony sprzedażowej, kliknięcie przycisku zakupu z kwotą 29,99 zł i walutą PLN, a po opłaconym zamówieniu: wyświetlenie strony podziękowania i zakup z kwotą, walutą, nazwą produktu i losowym numerem zamówienia), adres IP, informacje o przeglądarce i urządzeniu

Nie potrzebujemy informacji o Twoim zdrowiu ani zdjęć Twojej twarzy. Zdjęcia postępu z Planu zostają u Ciebie, nie wysyłaj ich do nas. Jeśli mimo to przekażesz nam takie informacje w wiadomości, użyjemy ich tylko do odpowiedzi i usuniemy je po zakończeniu sprawy.

4. Cele, podstawy prawne i okres przechowywania

„RODO” to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679. „PKE” to ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej.

Cel	Podstawa prawna	Jak długo
Zawarcie i wykonanie umowy: przyjęcie zamówienia, potwierdzenie e-mailem, udostępnienie kursu i (jeśli go kupisz) Planu Wyzwania 30 dni	art. 6 ust. 1 lit. b RODO (umowa i działania przed jej zawarciem); w zakresie potwierdzenia zawarcia umowy na trwałym nośniku art. 6 ust. 1 lit. c RODO w zw. z art. 21 ust. 1 ustawy o prawach konsumenta	przez czas trwania umowy, czyli przez cały czas, w którym udostępniamy kurs (Regulamin § 10 ust. 3), a potem do upływu terminu przedawnienia roszczeń (wiersz „Obrona roszczeń”)
Obsługa płatności: utworzenie płatności w Tpay, sprawdzanie jej statusu, przypisanie do zamówienia, zwrot pieniędzy	art. 6 ust. 1 lit. b RODO; w zakresie rozliczeń art. 6 ust. 1 lit. c RODO	jak przy umowie, a dokumenty rozliczeniowe jak przy fakturach i księgowości
Faktury i księgowość: wystawienie faktury (także w Krajowym Systemie e-Faktur, jeśli wymagają tego przepisy), prowadzenie ksiąg i dokumentacji podatkowej	art. 6 ust. 1 lit. c RODO w związku z przepisami podatkowymi i rachunkowymi (m.in. ustawa o VAT, ustawa o rachunkowości, Ordynacja podatkowa)	5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku
Odstąpienie od umowy i reklamacje: obsługa ustawowego prawa odstąpienia zgłoszonego e-mailem albo listem (w tym potwierdzenie e-mailem otrzymania oświadczenia) oraz reklamacji dotyczących zgodności kursu lub e-booka z umową (art. 43h–43q ustawy o prawach konsumenta). Prawo odstąpienia trwa 14 dni od zawarcia umowy. Nie zbieramy zgody na jego utratę, więc przysługuje także po rozpoczęciu kursu. Dotyczy konsumentów i przedsiębiorców na prawach konsumenta (art. 7aa ustawy o prawach konsumenta).	art. 6 ust. 1 lit. c RODO (ustawa o prawach konsumenta)	przez czas obsługi sprawy, a potem do upływu terminu przedawnienia roszczeń
Gwarancja zwrotu 30 dni: obsługa naszej dobrowolnej gwarancji	art. 6 ust. 1 lit. b RODO (gwarancja jest częścią naszej oferty)	przez czas obsługi sprawy, a potem do upływu terminu przedawnienia roszczeń
Obrona roszczeń: ustalanie, dochodzenie i obrona roszczeń; wykazanie, że zamówienie zostało złożone i Regulamin zaakceptowany (data, godzina, wersja tekstu i informacje o przeglądarce); wykazanie operatorowi płatności, że kurs został dostarczony (umowa z Tpay wymaga przechowywania takich dowodów co najmniej 13 miesięcy od płatności)	art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: ochrona przed roszczeniami i możliwość udowodnienia, co uzgodniliśmy i co dostarczyliśmy)	do upływu terminu przedawnienia roszczeń: Twoich roszczeń wobec nas (co do zasady 6 lat) i naszych roszczeń wobec Ciebie, np. o zapłatę (3 lata). Koniec terminu przypada na ostatni dzień roku kalendarzowego (art. 118 Kodeksu cywilnego). Jeśli toczy się postępowanie, przechowujemy dane do jego prawomocnego zakończenia.
Korespondencja: odpowiedzi na Twoje wiadomości	art. 6 ust. 1 lit. f RODO (nasz interes: odpowiadanie na pytania); jeśli wiadomość dotyczy zamówienia, art. 6 ust. 1 lit. b RODO	do zakończenia sprawy, a potem do upływu terminu przedawnienia roszczeń związanych z tą sprawą (wiersz „Obrona roszczeń”)
Działanie i bezpieczeństwo strony: logi serwera, zapamiętanie formularza i płatności BLIK w toku w Twojej przeglądarce, techniczne pliki cookies platformy hostingowej (ochrona przed botami, wersja strony)	art. 6 ust. 1 lit. f RODO (nasz interes: sprawne i bezpieczne działanie strony i koszyka); zapis w przeglądarce bez zgody na podstawie art. 399 ust. 3 PKE (niezbędny do usługi, o którą prosisz)	logi: przez okres ustawiony u dostawcy hostingu (Lovable), nie dłużej niż 90 dni. Nie kopiujemy ich i nie przechowujemy dłużej, chyba że są potrzebne do wyjaśnienia konkretnego incydentu bezpieczeństwa albo nadużycia (wtedy do zakończenia tej sprawy). Dane w przeglądarce: tabela w pkt 12.2.
Statystyki odwiedzin strony (skrypty platformy Lovable, w tym funkcja „Visitor analytics”): liczba odwiedzin i wyświetleń podstron, źródła wejść (np. reklama albo inna strona), rodzaje urządzeń, języki i kraje odwiedzających, błędy strony. Działają automatycznie od wczytania strony, bez pytania o zgodę (pkt 12.4).	przetwarzanie danych: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: zbiorcze statystyki odwiedzin, dzięki którym wiemy, skąd przychodzą odwiedzający i czy strona działa poprawnie); możesz się sprzeciwić (pkt 12.4). Zapis pliku cookie `session-id` i odczyt informacji z przeglądarki: następują przy wczytaniu strony, bez pytania o zgodę; informujemy o ich celu i o tym, że ich warunki określasz w ustawieniach przeglądarki (art. 399 ust. 1 pkt 1 i ust. 2 PKE, pkt 12.4 i 13)	Plik `session-id`: 30 minut od ostatniego wyświetlenia podstrony (pkt 12.2). Zebrane statystyki: jak w pkt 12.4.
Pomiar i optymalizacja reklam na Facebooku i Instagramie (Meta Pixel) oraz remarketing. Pixel działa automatycznie na stronie sprzedażowej i na stronie podziękowania, bez pytania o zgodę (pkt 12.3). Za zbieranie danych przez Pixel i ich przekazanie do Meta odpowiadamy wspólnie z Meta Platforms Ireland Limited (współadministrowanie, pkt 6 i 12.3).	przetwarzanie danych: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: pomiar skuteczności naszych reklam, ich kierowanie i remarketing, czyli marketing bezpośredni naszego kursu); możesz się sprzeciwić (pkt 12.3). Zapis plików cookies Meta i odczyt informacji z przeglądarki: następują automatycznie na tych dwóch stronach, bez pytania o zgodę; informujemy o ich celu i o tym, że ich warunki określasz w ustawieniach przeglądarki (art. 399 ust. 1 pkt 1 i ust. 2 PKE, pkt 12.3 i 13)	Sami nie zapisujemy danych zbieranych przez Pixel: Twoja przeglądarka wysyła je bezpośrednio do Meta. Pliki cookies: jak w tabeli w pkt 12.2. Dane po stronie Meta: zgodnie z polityką prywatności Meta.

Zamówienia nieopłacone. Jeśli zamówienie nie zostanie opłacone w ciągu 24 godzin, anulujemy je automatycznie (Regulamin § 7 ust. 8). Dane nieopłaconego albo anulowanego zamówienia usuwamy po 90 dniach od jego złożenia. Wyjątek: dane są potrzebne do wyjaśnienia płatności lub reklamacji. Wtedy przechowujemy je do zakończenia tej sprawy.

5. Płatności: BLIK i Tpay

Płatności obsługuje Krajowy Integrator Płatności S.A. z siedzibą w Poznaniu (plac Andersa 3, 17 piętro, 61-894 Poznań, KRS 0000412357, NIP 7773061579), operator systemu płatności Tpay (dalej: Tpay). W koszyku wybierasz jeden z dwóch sposobów płatności:

BLIK. Wpisujesz 6-cyfrowy kod z aplikacji banku na naszej stronie, a płatność zatwierdzasz w aplikacji. Kod trafia przez nasz serwer wyłącznie do Tpay. Nie zapisujemy go i nie umieszczamy go w adresie strony. Gdy czekasz na potwierdzenie, strona co kilka sekund sprawdza status płatności i wysyła przy tym tylko numer zamówienia.
Tpay. Po kliknięciu przycisku przechodzisz na stronę płatności Tpay i tam wybierasz metodę, np. szybki przelew z banku albo BLIK. Dane, które podasz na stronie Tpay, przetwarza Tpay na własnych zasadach.

Co przekazujemy do Tpay. Przekazujemy kwotę, opis i numer zamówienia, Twój e-mail oraz imię i nazwisko, bo Tpay wymaga danych płatnika. Przy płatności BLIK na naszej stronie przekazujemy też kod BLIK, Twój adres IP i informacje o przeglądarce (tzw. user agent), bo Tpay wymaga ich przy tej metodzie. Przy płatności przez stronę Tpay adresu IP ani informacji o przeglądarce nie przekazujemy; Twoja przeglądarka łączy się wtedy z Tpay bezpośrednio. Przy zwrocie pieniędzy przekazujemy Tpay polecenie zwrotu dla Twojej transakcji (identyfikator transakcji i kwotę).

Tpay jest odrębnym administratorem danych przetwarzanych przy płatności. Zasady opisuje klauzula informacyjna Tpay dla płatników: https://tpay.com/user/assets/files_for_download/klauzula-informacyjna-platnik.pdf. Link do niej jest też w koszyku, w części „Jak płacisz?”. Tpay może sam wysłać Ci e-mail dotyczący płatności. W płatności biorą też udział Twój bank i, przy BLIK, operator systemu BLIK. Jeśli na stronie Tpay wybierzesz płatność odroczoną, Twoje dane przetwarza także jej dostawca. Każdy z tych podmiotów działa na własnych zasadach.

Zwroty. Pieniądze zwracamy przez Tpay na rachunek, z którego zapłacono. Twój numer rachunku jest potrzebny tylko wtedy, gdy Tpay nie może zwrócić pieniędzy automatycznie. W takiej sytuacji może Cię o niego poprosić Tpay.

6. Komu przekazujemy dane

Podmioty, które przetwarzają dane na nasze zlecenie (na podstawie umowy powierzenia, art. 28 RODO):

Lovable Labs Incorporated, 1 Lincoln St, Boston, MA 02111, USA: dostawca platformy, na której działa strona i nasz backend (hosting strony, baza zamówień i funkcje serwerowe w usłudze Lovable Cloud), a także statystyki odwiedzin strony (pkt 12.4). Lovable korzysta z własnych podwykonawców, w tym z dostawców infrastruktury chmurowej, np. Supabase, na której technologii opiera się Lovable Cloud, Cloudflare, przez którego sieć przechodzi ruch na stronie, oraz ClickHouse i Altinity, u których Lovable przechowuje statystyki odwiedzin w UE.
Dostawca poczty e-mail: wysyłka e-maili (potwierdzenie zamówienia, dostęp do kursu) i obsługa naszej skrzynki kontakt@soporium.pl, z której odpowiadamy na wiadomości i potwierdzamy otrzymanie oświadczeń o odstąpieniu od umowy.
Dostawca narzędzia do automatycznej wysyłki dostępu do kursu: po potwierdzeniu płatności przekazanie danych zamówienia (e-mail, imię i nazwisko, zamówione produkty), żeby automatycznie wysłać Ci dostęp do kursu i, jeśli go kupisz, Plan.
Dostawca platformy, na której udostępniamy nagrania kursu: udostępnianie lekcji kursu.
Dostawca systemu do wystawiania faktur: wystawianie i wysyłka faktur.
Biuro rachunkowe: prowadzenie księgowości.

Każdy z tych podmiotów może korzystać z własnych podwykonawców, np. dostawców usług chmurowych. Na Twoją prośbę podamy nazwy konkretnych dostawców (pkt 2).

Odrębni administratorzy:

Krajowy Integrator Płatności S.A. (Tpay) i inne podmioty biorące udział w płatności (pkt 5).
Lovable Labs Incorporated, tylko w zakresie zestawień zbiorczych pozbawionych cech identyfikujących, które Lovable tworzy ze statystyk odwiedzin i wykorzystuje na własne potrzeby, np. do ulepszania swoich usług (pkt 12.4).
Organy publiczne, w tym organy podatkowe (np. Szef Krajowej Administracji Skarbowej, który prowadzi Krajowy System e-Faktur, gdy wystawiamy w nim fakturę), sądy i inne organy, jeśli wymaga tego prawo.

Współadministrator: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia, w zakresie Meta Pixela, który działa automatycznie na stronie sprzedażowej i na stronie podziękowania. Wspólnie z Meta odpowiadamy za zbieranie danych przez Pixel i ich przekazanie do Meta. Za dalsze przetwarzanie odpowiada samodzielnie Meta (pkt 12.3).

7. Czcionki i logotypy

Czcionki strony (Archivo Black, Inter, Caveat) oraz logotypy Tpay i BLIK wczytujemy z naszego serwera. Strona nie pobiera ich z zewnętrznych serwisów, np. Google Fonts. Dlatego przy otwarciu strony Twój adres IP nie trafia do dostawcy czcionek.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Niektórzy dostawcy mają siedzibę lub serwery poza EOG. Gdy dane trafiają poza EOG, korzystamy z zabezpieczeń przewidzianych w RODO:

Lovable Labs Incorporated (USA): standardowe klauzule umowne przyjęte przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914), które są częścią umowy powierzenia z Lovable. Podwykonawcy Lovable, np. Supabase, mogą przetwarzać dane także w innych państwach spoza EOG. Lovable musi zapewnić przy tym zabezpieczenia wymagane przez te klauzule. Dotyczy to także statystyk odwiedzin (pkt 12.4): Lovable przechowuje je u podwykonawców w UE (ClickHouse, Altinity), ale przetwarza je na nasze zlecenie Lovable Labs Incorporated z USA, a ruch na stronie przechodzi przez globalną sieć serwerów Cloudflare.
Meta Platforms, Inc. (USA), w zakresie danych zbieranych przez Meta Pixel (pkt 12.3): EU-US Data Privacy Framework oraz standardowe klauzule umowne.
Pozostali dostawcy z pkt 6: jeśli któryś z nich przekazuje dane poza EOG, robi to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych.

Aktualną listę firm w programie Data Privacy Framework znajdziesz na dataprivacyframework.gov. Kopię zabezpieczeń możesz dostać od nas (pkt 2).

9. Twoje prawa

Masz prawo:

dostępu do swoich danych i do otrzymania ich kopii (art. 15 RODO);
sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO);
usunięcia danych (art. 17 RODO), np. gdy nie są już potrzebne. Nie usuniemy danych, które musimy przechowywać z mocy prawa (np. faktur) albo które są potrzebne do obrony roszczeń;
ograniczenia przetwarzania (art. 18 RODO);
przeniesienia danych (art. 20 RODO), czyli otrzymania ich w powszechnie używanym formacie, w zakresie danych przetwarzanych na podstawie umowy.

Prawo sprzeciwu. W każdej chwili możesz sprzeciwić się przetwarzaniu Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 21 RODO). Dotyczy to obrony roszczeń, korespondencji, logów serwera, statystyk odwiedzin i Meta Pixela. Przestaniemy wtedy przetwarzać te dane. Wyjątek: wykażemy ważne, prawnie uzasadnione podstawy, które są nadrzędne wobec Twoich interesów, albo dane będą potrzebne do ustalenia, dochodzenia lub obrony roszczeń. Ten wyjątek nie dotyczy marketingu bezpośredniego, w tym reklam i remarketingu przez Meta Pixel: sprzeciw wobec nich jest bezwzględny (art. 21 ust. 2 i 3 RODO). Skrypty statystyk odwiedzin i Meta Pixela wczytują się jednak u wszystkich odwiedzających (Pixel z wyjątkami opisanymi w pkt 12.3), dlatego po sprzeciwie wysłanym e-mailem nie możemy ich wyłączyć po naszej stronie tylko dla Ciebie. Co robimy po Twoim sprzeciwie, opisują pkt 12.3 i 12.4.

Aby skorzystać z praw, napisz do nas (pkt 2). Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W wyjątkowych sytuacjach termin może się wydłużyć o kolejne dwa miesiące, a wtedy Cię o tym poinformujemy. Możemy poprosić o informacje, które pozwolą potwierdzić Twoją tożsamość, np. o e-mail podany przy zamówieniu.

W sprawie danych zbieranych przez Meta Pixel możesz się też zwrócić bezpośrednio do Meta (pkt 12.3).

10. Skarga do organu nadzorczego

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa (uodo.gov.pl).

11. Czy musisz podać dane? Profilowanie

Podanie danych jest dobrowolne, ale potrzebne do zawarcia umowy. Bez e-maila oraz imienia i nazwiska nie przyjmiemy zamówienia. Na e-mail wysyłamy potwierdzenie i dostęp do kursu, a imienia i nazwiska wymaga Tpay. Dane do faktury podajesz tylko wtedy, gdy poprosisz nas e-mailem o fakturę. Wtedy ich podanie wynika z przepisów o fakturach. Zablokowanie Meta Pixela i statystyk odwiedzin (pkt 13) nie ma wpływu na możliwość zakupu.

Nie podejmujemy decyzji w sposób zautomatyzowany, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Meta może wykorzystać informacje zebrane przez Meta Pixel na naszej stronie do dopasowania reklam, które widzisz na Facebooku i Instagramie, na zasadach opisanych w polityce prywatności Meta. Za takie dalsze przetwarzanie odpowiada samodzielnie Meta (pkt 12.3). Jeśli zablokujesz Pixel w przeglądarce (pkt 13), nie będzie się to działo za pośrednictwem naszej strony.

12. Pliki cookies i podobne technologie

12.1. Co to jest

Pliki cookies to małe pliki tekstowe zapisywane w Twojej przeglądarce. Podobnie działa pamięć przeglądarki: localStorage przechowuje dane do czasu ich usunięcia, a sessionStorage tylko do zamknięcia karty. Dane z pamięci przeglądarki, które opisujemy niżej, nie trafiają do Meta ani do statystyk. Strona używa ich tylko do działania koszyka i strony podziękowania. Do naszego serwera wysyła z nich wyłącznie numer zamówienia: przy sprawdzaniu statusu płatności BLIK i przy ponownej próbie po przerwanej płatności w Tpay.

Używamy trzech rodzajów takich technologii:

Niezbędne: bez nich strona i koszyk nie działałyby poprawnie albo bezpiecznie. Nie wymagają zgody (art. 399 ust. 3 PKE).
Statystyczne (statystyki odwiedzin Lovable, pkt 12.4): wczytuje je automatycznie platforma Lovable przy wczytaniu strony, bez pytania o zgodę. Możesz je zablokować w przeglądarce (pkt 13).
Marketingowe (Meta Pixel, pkt 12.3): zapisują się automatycznie na stronie sprzedażowej i na stronie podziękowania, bez pytania o zgodę. Możesz je zablokować w przeglądarce (pkt 13).

Do statystyk odwiedzin używamy wyłącznie analityki wbudowanej w platformę hostingu Lovable: skryptu statystyk odwiedzin /~flock.js (funkcja „Visitor analytics”) i skryptu zdarzeń /__l5e/events.*.js (pkt 12.4). Innych narzędzi analitycznych nie używamy. Filmy i obrazy na stronie pochodzą z naszego hostingu. Nie korzystamy z zewnętrznych odtwarzaczy wideo, np. YouTube czy Vimeo.

12.2. Lista

Nazwa	Gdzie	Do czego służy	Rodzaj	Jak długo	Dostawca
`jt-consent`	localStorage	Wybór zapisany w dawnym banerze cookies, który był na stronie do 21 października 2026 r. Nie zapisujemy już nowych wartości. Jeśli zapisany jest wybór „nie”, Pixel się u Ciebie nie wczytuje.	niezbędny	do usunięcia danych strony w przeglądarce	my
`jt_checkout_v1`	sessionStorage (koszyk, strona podziękowania)	(1) Tuż przed przejściem na stronę płatności Tpay zapisuje formularz (e-mail, imię i nazwisko, wybór Planu, metodę płatności), numer zamówienia i godzinę zapisu. Jeśli przerwiesz płatność i wrócisz, nie musisz wpisywać danych od nowa, a numer zamówienia pozwala naszemu serwerowi sprawdzić i anulować poprzednią, nieopłaconą płatność. Szkic jest używany najwyżej przez 30 minut. (2) Po opłaceniu BLIKIEM zostaje w nim tylko e-mail. Po opłaceniu BLIKIEM albo po powrocie ze strony Tpay strona podziękowania pokazuje z niego, na jaki adres przyjdzie potwierdzenie, i usuwa wpis. Jeśli płatność się nie udała, wracasz do koszyka z zachowanymi danymi. Kodu BLIK i zgód nigdy tu nie zapisujemy.	niezbędny	do zamknięcia karty przeglądarki albo wcześniejszego usunięcia przez stronę podziękowania	my
`jt_blik_pending`	sessionStorage (koszyk)	Gdy czekasz na potwierdzenie BLIK w aplikacji banku, zapisuje numer zamówienia, godzinę rozpoczęcia płatności i wybór Planu. Dzięki temu strona może dalej sprawdzać status, jeśli przeglądarka się przeładuje (zdarza się to np. w przeglądarce wbudowanej w Facebooka). Nigdy nie zapisuje kodu BLIK.	niezbędny	do potwierdzenia lub odrzucenia płatności albo zamknięcia karty; po ok. 3 minutach wpis jest nieaktualny i strona go usuwa	my
`__cf_bm`	cookie platformy hostingowej Lovable	Chroni stronę przed ruchem automatycznym (botami). Ustawia go Cloudflare, z którego korzysta Lovable.	niezbędny	30 minut	Lovable (Cloudflare)
`__dpl`	cookie platformy hostingowej Lovable	Zawiera identyfikator opublikowanej wersji strony, żeby Twoja przeglądarka dostawała spójnie tę samą wersję.	niezbędny	7 dni	Lovable
`session-id`	cookie na domenie naszej strony	Losowy identyfikator sesji w statystykach odwiedzin (pkt 12.4). Dzięki niemu kolejne wyświetlenia podstron liczą się jako jedna wizyta. Zapisuje się automatycznie przy wczytaniu strony, bez pytania o zgodę. Jak go zablokować: pkt 13.	statystyczny	30 minut; każde wyświetlenie podstrony liczy ten czas od nowa	Lovable
`_fbp`	cookie na domenie naszej strony	Odróżnia Twoją przeglądarkę na potrzeby pomiaru reklam Meta. Zapisuje się automatycznie, bez pytania o zgodę, na stronach, na których działa Pixel (strona sprzedażowa oraz strona podziękowania po potwierdzeniu opłacenia zamówienia, pkt 12.3). Jak go zablokować: pkt 13.	marketingowy	90 dni	Meta
`_fbc`	cookie na domenie naszej strony	Zapisuje identyfikator kliknięcia reklamy (parametr `fbclid` w adresie), jeśli trafisz na stronę z reklamy Meta. Zapisuje się automatycznie, bez pytania o zgodę, na stronach, na których działa Pixel (strona sprzedażowa oraz strona podziękowania po potwierdzeniu opłacenia zamówienia, pkt 12.3). Jak go zablokować: pkt 13.	marketingowy	90 dni	Meta
pliki cookies Meta na domenach Meta (np. `fr`)	cookies Meta (zewnętrzne)	Jeśli w tej przeglądarce korzystasz z Facebooka lub Instagrama, Meta może odczytać własne pliki cookies i powiązać zdarzenia z naszej strony z Twoim kontem. Dzieje się to automatycznie, bez pytania o zgodę, na stronach, na których działa Pixel (pkt 12.3). Jak to zablokować: pkt 13.	marketingowy	według zasad Meta, opisanych w polityce plików cookies Meta	Meta

Skrypt zdarzeń Lovable (/__l5e/events.*.js, pkt 12.4) nie zapisuje niczego w przeglądarce: nie używa plików cookies ani pamięci przeglądarki. Losowy identyfikator sesji trzyma tylko w pamięci otwartej strony, do jej zamknięcia albo przeładowania.

Na stronie płatności Tpay obowiązują pliki cookies i zasady Tpay.

12.3. Meta Pixel

Meta Pixel to narzędzie Meta. Używamy go, żeby:

mierzyć, które reklamy na Facebooku i Instagramie przyprowadzają osoby zainteresowane kursem i które kończą się zakupem;
pozwolić Meta lepiej dobierać, komu wyświetla nasze reklamy (optymalizacja kampanii);
pokazywać nasze reklamy osobom, które odwiedziły stronę (remarketing).

Meta może też wykorzystywać te dane we własnych celach, m.in. do personalizowania reklam, które widzisz, na zasadach z polityki prywatności Meta.

Pixel działa automatycznie. Na stronie sprzedażowej skrypt Meta (connect.facebook.net) wczytuje się od razu, bez pytania o zgodę, a na stronie podziękowania dopiero wtedy, gdy nasz serwer potwierdzi, że zamówienie zostało opłacone. Na stronie nie ma banera cookies. Pixel nie wczytuje się tylko wtedy, gdy Twoja przeglądarka wysyła sygnał Global Privacy Control (GPC) albo „Do Not Track” (zob. „Sprzeciw” niżej), albo gdy wcześniej, kiedy na stronie był jeszcze baner cookies, kliknęłaś/kliknąłeś „Odrzucam”. Jak zablokować Pixel: pkt 13.
Co trafia do Meta. Pixel przesyła do Meta tylko trzy rodzaje zdarzeń: wyświetlenie strony (PageView), kliknięcie przycisku zakupu na stronie sprzedażowej (InitiateCheckout, z kwotą 29,99 zł i walutą PLN) oraz zakup (Purchase) na stronie podziękowania, wysyłany tylko wtedy, gdy nasz serwer potwierdzi, że zamówienie zostało opłacone. Na stronie podziękowania także wyświetlenie strony trafia do Meta dopiero po tym potwierdzeniu. Zdarzenie zakupu zawiera kwotę zamówienia (29,99 zł albo 44,98 zł z Planem), walutę (PLN), nazwę produktu („Joga Twarzy”), rodzaj treści („product”) i losowy numer zamówienia (jako identyfikator zdarzenia). Razem z nimi trafiają do Meta: adres strony, adres strony, z której do nas przyszedłeś/przyszłaś (referrer), adres IP, informacje o przeglądarce i urządzeniu oraz identyfikatory z plików cookies (pkt 12.2). Zdarzenia automatyczne Meta mamy wyłączone.
Pixel działa tylko na stronie sprzedażowej i na stronie podziękowania. W koszyku skrypt Meta nie działa: nie widzi, co wpisujesz w formularzu, ani kodu BLIK. Nie działa też na podstronach z Regulaminem i tą polityką. Nie przekazujemy do Meta Twojego e-maila, imienia i nazwiska ani innych danych z formularza zamówienia, także w formie zahaszowanej. Na stronach, na których działa Pixel, nie ma pól formularza, a sami nie przekazujemy do Meta żadnych danych do dopasowania zaawansowanego.
Podstawa prawna przetwarzania danych: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Chcemy wiedzieć, które reklamy przyprowadzają osoby zainteresowane kursem i kończą się zakupem, pokazywać reklamy osobom, które mogą być kursem zainteresowane, i przypominać o kursie osobom, które odwiedziły stronę. To marketing bezpośredni naszego kursu.
Zapis plików cookies i odczyt informacji z przeglądarki. Na stronach, na których działa Pixel, pliki cookies Meta (_fbp, a jeśli przyszedłeś/przyszłaś z reklamy Meta, także _fbc) zapisują się, a skrypt Meta odczytuje z przeglądarki informacje o niej i pliki cookies Meta automatycznie, bez pytania o zgodę. Zgodnie z art. 399 ust. 1 pkt 1 i ust. 2 PKE informujemy Cię tu o celu tego zapisu i odczytu (pomiar i kierowanie reklam, opisane wyżej) oraz o tym, że ich warunki możesz określić w ustawieniach przeglądarki: zablokować pliki cookies naszej strony albo usunąć _fbp i _fbc, a także zablokować pliki cookies stron trzecich, w tym domen Meta. Sam skrypt Meta możesz zablokować rozszerzeniem do blokowania reklam i skryptów śledzących (pkt 13).
Sprzeciw. Możesz w każdej chwili sprzeciwić się wykorzystywaniu Twoich danych przez Meta Pixel (art. 21 ust. 2 RODO): napisz na kontakt@soporium.pl. Pixel służy marketingowi bezpośredniemu, więc taki sprzeciw jest bezwzględny: nie musisz go uzasadniać i nie możemy go odrzucić (art. 21 ust. 2 i 3 RODO). Sprzeciw możesz też wyrazić automatycznie (art. 21 ust. 5 RODO): sygnał Global Privacy Control (GPC) albo „Do Not Track” wysyłany przez Twoją przeglądarkę traktujemy jako sprzeciw i wtedy Pixel się u Ciebie nie wczytuje. Taki sygnał włączysz w ustawieniach prywatności wielu przeglądarek albo rozszerzeniem. Po sprzeciwie wysłanym e-mailem nie wiemy, której przeglądarki używasz, więc nie możemy wyłączyć Pixela po naszej stronie tylko dla Ciebie. W odpowiedzi pomożemy Ci włączyć sygnał GPC albo zablokować Pixel w Twojej przeglądarce (pkt 13). Możesz też odłączyć od swojego konta na Facebooku lub Instagramie informacje z naszej strony w ustawieniu „Twoja aktywność poza technologiami Meta” (ang. „Activity off Meta technologies”).
Współadministrowanie. Za zbieranie i przekazywanie tych danych do Meta odpowiadamy wspólnie z Meta Platforms Ireland Limited (wyrok TSUE z 29 lipca 2019 r., C-40/17 Fashion ID). Zasady współpracy określa „Controller Addendum” Meta (facebook.com/legal/controller_addendum). Za dalsze przetwarzanie danych po ich przekazaniu odpowiada wyłącznie Meta. Opisuje je polityka prywatności Meta (facebook.com/privacy/policy). Tam znajdziesz też informacje, jak korzystać ze swoich praw wobec Meta. Możesz się w tej sprawie zwrócić także do nas.
Przekazanie danych do USA. Meta może przekazywać dane do Meta Platforms, Inc. w USA. Zabezpieczenia: pkt 8.
Reklamami opartymi na Twojej aktywności poza Meta możesz też zarządzać w ustawieniach konta na Facebooku lub Instagramie („Preferencje reklamowe” i „Twoja aktywność poza technologiami Meta”).

12.4. Statystyki odwiedzin (Lovable)

Strona działa na platformie Lovable. Lovable sam dodaje do każdej podstrony dwa skrypty statystyk, które wczytują się z adresu naszej strony. Dzięki nim wiemy, ile osób odwiedza stronę, które podstrony oglądają, skąd przychodzą (np. z reklamy albo z innej strony), z jakich urządzeń korzystają i czy strona działa bez błędów.

Skrypty działają automatycznie. Wczytują się od razu przy wczytaniu strony, bez pytania o zgodę. Nie możemy ich też wstrzymać, bo dodaje je platforma, a nie nasz kod. Jak je zablokować: pkt 13.

Skrypt statystyk odwiedzin (/~flock.js, funkcja „Visitor analytics”). Przy każdym wyświetleniu podstrony wysyła do Lovable:
- datę i godzinę,
- losowy identyfikator sesji z pliku cookie session-id,
- pełny adres podstrony, razem z parametrami w adresie (np. utm_source albo fbclid),
- adres strony, z której do nas przyszedłeś/przyszłaś (referrer),
- informacje o przeglądarce i urządzeniu (user agent),
- język przeglądarki,
- kraj, który skrypt ustala na podstawie strefy czasowej ustawionej w przeglądarce, a nie na podstawie adresu IP.
Razem z każdym takim zgłoszeniem do serwerów Lovable trafia Twój adres IP, tak jak przy każdym wejściu na stronę.
Skrypt zdarzeń (/__l5e/events.*.js; gwiazdka to zmienna część nazwy pliku). Wysyła do Lovable informacje o wyświetleniach podstron, domenę i ścieżkę strony, z której do nas przyszedłeś/przyszłaś, parametry UTM z adresu (np. utm_source), informację, czy w adresie jest identyfikator kliknięcia reklamy (gclid albo fbclid), błędy strony i dane o zaangażowaniu na stronie. Nie zapisuje niczego w przeglądarce: nie używa plików cookies ani pamięci przeglądarki. Losowy identyfikator sesji trzyma tylko w pamięci otwartej strony. Także tu do serwerów Lovable trafia Twój adres IP.
Plik cookie. Skrypt /~flock.js przy wczytaniu strony zapisuje w Twojej przeglądarce plik cookie session-id z losowym identyfikatorem, jeśli przeglądarka przyjmuje pliki cookies. Dzięki niemu kolejne wyświetlenia podstron liczą się jako jedna wizyta. Plik wygasa po 30 minutach bez wyświetlenia kolejnej podstrony (pkt 12.2).
Podstawa prawna przetwarzania danych: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Chcemy wiedzieć, ile osób odwiedza stronę, skąd przychodzą i czy strona działa poprawnie, żeby ją ulepszać i oceniać skuteczność reklam. Statystyki oglądamy w panelu naszego projektu w Lovable jako zestawienia zbiorcze i nie łączymy ich z danymi z zamówień.
Zapis pliku cookie i odczyt informacji z przeglądarki. Plik session-id zapisuje się, a skrypty odczytują z przeglądarki informacje o niej (user agent, język, strefę czasową) automatycznie przy wczytaniu strony, bez pytania o zgodę. Zgodnie z art. 399 ust. 1 pkt 1 i ust. 2 PKE informujemy Cię tu o celu tego zapisu i odczytu oraz o tym, że ich warunki możesz określić w ustawieniach przeglądarki: zablokować pliki cookies naszej strony albo usunąć session-id. Same skrypty statystyk możesz zablokować rozszerzeniem do blokowania skryptów (pkt 13).
Sprzeciw. Możesz w każdej chwili sprzeciwić się wykorzystywaniu Twoich danych do statystyk (art. 21 RODO): napisz na kontakt@soporium.pl. Skrypty wczytują się u wszystkich odwiedzających, a w statystykach nie ma Twojego imienia, nazwiska ani e-maila. Dlatego nie możemy wyłączyć ich tylko dla Ciebie ani sami odnaleźć Twoich danych. W odpowiedzi pomożemy Ci zablokować statystyki w Twojej przeglądarce (pkt 13). Jeśli podasz nam wartość pliku session-id ze swojej przeglądarki, poprosimy Lovable o usunięcie powiązanych z nią danych.
Kto ma dostęp. Dane przetwarza na nasze zlecenie Lovable Labs Incorporated jako podmiot przetwarzający (pkt 6). Lovable przechowuje statystyki u swoich podwykonawców w UE (ClickHouse, Altinity), a ruch na stronie przechodzi przez sieć Cloudflare. Przekazanie danych do USA: pkt 8. Lovable może też tworzyć z tych danych zestawienia zbiorcze pozbawione cech identyfikujących i wykorzystywać je jako odrębny administrator, np. do ulepszania swoich usług.
Jak długo. Plik session-id: 30 minut od ostatniego wyświetlenia podstrony. W panelu statystyk Lovable pokazuje dane z ostatnich 90 dni. Lovable nie podaje stałego okresu przechowywania zebranych danych. Zgodnie z umową powierzenia przechowuje je przez czas trwania naszej umowy z Lovable albo do chwili, gdy zażądamy ich usunięcia. Zestawienia zbiorcze pozbawione cech identyfikujących Lovable może przechowywać bez ograniczenia czasowego.

13. Jak zablokować Meta Pixel i statystyki odwiedzin

Meta Pixel: na stronie nie ma banera ani przełącznika, którym go wyłączysz. Możesz:
- włączyć w przeglądarce sygnał Global Privacy Control (GPC) albo „Do Not Track”. Traktujemy go jako sprzeciw i wtedy Pixel się nie wczytuje (pkt 12.3);
- zablokować skrypt Meta rozszerzeniem do blokowania reklam i skryptów śledzących, np. regułą blokującą adres connect.facebook.net. Wtedy Pixel się nie wczytuje i nic nie wysyła do Meta. Wiele takich rozszerzeń blokuje go domyślnie;
- zablokować pliki cookies naszej strony w ustawieniach przeglądarki albo usunąć pliki _fbp i _fbc. Sama blokada plików cookies nie zatrzymuje jednak wysyłania zdarzeń do Meta;
- zablokować w ustawieniach przeglądarki pliki cookies stron trzecich. Wtedy Meta nie odczyta przy wizycie na naszej stronie swoich plików cookies z domen Meta, np. fr;
- sprzeciwić się wykorzystywaniu Twoich danych do reklam, pisząc na kontakt@soporium.pl, i odłączyć informacje z naszej strony od swojego konta Meta w ustawieniu „Twoja aktywność poza technologiami Meta” (pkt 12.3).
Statystyki odwiedzin (Lovable): nie wyłączysz ich na stronie. Możesz:
- zablokować pliki cookies naszej strony w ustawieniach przeglądarki. Wtedy plik session-id się nie zapisze. Sama blokada plików cookies nie musi jednak zatrzymać wysyłania danych o wyświetleniach podstron;
- zablokować skrypty statystyk rozszerzeniem do blokowania reklam i skryptów śledzących, np. regułą blokującą na naszej stronie adresy /~flock.js i /__l5e/. Wtedy skrypty się nie wczytują i nic nie wysyłają. Nie każde takie rozszerzenie blokuje je domyślnie;
- sprzeciwić się wykorzystywaniu Twoich danych do statystyk, pisząc na kontakt@soporium.pl (pkt 12.4).
Usunięcie danych strony w przeglądarce: w ustawieniach przeglądarki usuń pliki cookies i dane witryny dla naszej strony. Usuniesz wtedy pliki cookies Meta i statystyk odwiedzin zapisane na naszej domenie. Plik session-id zapisze się znowu przy następnym wyświetleniu podstrony, a pliki cookies Meta przy następnym wyświetleniu strony, na której działa Pixel, jeśli nie zablokujesz plików cookies naszej strony. Pliki cookies zapisane na domenach Meta usuwasz w ustawieniach przeglądarki albo w ustawieniach konta Meta.
Ustawienia przeglądarki: możesz zablokować pliki cookies i pamięć przeglądarki dla wszystkich stron lub tylko dla wybranych. Zakup nadal będzie możliwy. Po przerwanej płatności formularz nie wypełni się jednak sam. Jeśli strona przeładuje się w trakcie płatności BLIK, status płatności sprawdzisz w aplikacji banku.

14. Bezpieczeństwo

Strona działa przez szyfrowane połączenie HTTPS.
Kod BLIK przekazujemy przez nasz serwer wyłącznie do Tpay. Nie zapisujemy go ani w bazie danych, ani w logach, ani w przeglądarce, ani w adresie strony.
Sprawdzanie statusu płatności wysyła tylko numer zamówienia, a odpowiedź zawiera tylko status płatności i ewentualnie kod przyczyny niepowodzenia (np. „odrzucona w aplikacji banku”), bez Twoich danych osobowych.
Formularz zamówienia wysyła dane wyłącznie do naszego serwera, przez połączenie szyfrowane.

15. Linki do innych stron

Strona zawiera linki do zewnętrznych serwisów, np. do opisu badania w PubMed Central, do Tpay oraz do regulaminu i klauzuli informacyjnej Tpay. Po kliknięciu obowiązują zasady prywatności tamtej strony.

16. Zmiany polityki

Możemy aktualizować tę politykę, np. gdy zmienią się nasi dostawcy albo funkcje strony. Aktualna wersja jest zawsze na tej stronie, z datą wersji. Jeśli zmiana dotyczy nowych celów przetwarzania lub nowych kategorii odbiorców danych osób, które już złożyły zamówienie, poinformujemy je e-mailem przed wprowadzeniem zmiany. Jeśli zmiana będzie wymagała Twojej zgody, poprosimy o nią i bez niej nie zastosujemy zmiany wobec Ciebie. Poprzednie wersje udostępniamy na prośbę (pkt 2).

Wersja z 21 października 2026 r.