Polityka cookies i podobnych technologii serwisu SkinPoint

Czym jest ten dokument. Opisuje rzeczywiste, zweryfikowane zachowanie serwisu w dniu przyjęcia wersji. Nie jest opinią prawną ani certyfikacją zgodności.

1. Zakres i podmioty odpowiedzialne

Polityka dotyczy domeny skinpoint.pl, w tym sklepu WooCommerce, platformy edukacyjnej oraz checkoutu szkoleń online. Cookies i podobne technologie obejmują między innymi pliki cookies, pamięć lokalną i sesyjną, piksele, identyfikatory urządzenia oraz żądania pomiarowe.

Fundacja SkinPoint jest administratorem danych związanych z zamówieniami i dostępem do kursów, gdy w checkoutcie występuje jako sprzedawca. SkinPoint JDG jest administratorem procesów wyraźnie przypisanych do jej własnych usług. Oba podmioty korzystają z adresu kontakt@skinpoint.pl oraz, zgodnie z potwierdzeniem operatora, ze wspólnego zarządzania operacyjnego. Nie oznacza to automatycznie współadministrowania.

Administratorem danych dla analityki lub marketingu jest podmiot wskazany w panelu zgód albo informacji towarzyszącej danej stronie i kampanii.

Zasady przetwarzania danych osobowych opisuje Polityka prywatności Fundacji SkinPoint.

2. Kategorie technologii

Niezbędne

Technologie niezbędne służą realizacji wyraźnie żądanej funkcji, w szczególności utrzymaniu koszyka i sesji, bezpieczeństwu logowania, zapisaniu preferencji zgody, ochronie formularza oraz obsłudze płatności. Ich zablokowanie może uniemożliwić zakup albo bezpieczne działanie Serwisu. Działają bez zgody, ponieważ bez nich żądana przez Ciebie funkcja nie może zostać wykonana.

Zaobserwowane grupy:

• WooCommerce: woocommerce_items_in_cart, woocommerce_cart_hash, wp_woocommerce_session_*;
• checkout SkinPoint: sp_checkout_login_target;
• zapis Twojej decyzji o zgodach: wpconsent_preferences — zawiera wyłącznie stan trzech kategorii, wersję banera i znacznik czasu decyzji; nie zawiera identyfikatora osoby;
• język serwisu: wp-wpml_current_language;
• Stripe i bezpieczeństwo płatności: __stripe_mid, __stripe_sid, m, _px3, _pxde, _pxvid, pxcts;
• hCaptcha i infrastruktura ochronna: __cf_bm, __cflb, hmt_id;
• Google reCAPTCHA: _GRECAPTCHA oraz pamięć _grecaptcha.

Rozstrzygnięcie dotyczące sp_vsl_fp. W wersji 1.0 status tego cookie pozostawał do ustalenia. Został ustalony: jest to techniczny identyfikator ograniczający nadużycia przy materiałach wideo. Serwis tworzy go wyłącznie na czterech ścieżkach /diag-beautyplan*, na których ta funkcja faktycznie działa, i usuwa go wszędzie indziej. Nie jest tworzony na landingu ani w checkoucie.

Rozstrzygnięcie dotyczące parametru dm_closer. Parametr pełni dwie różne funkcje i został rozdzielony. Część niezbędna to minimalny kontekst rozliczeniowy pozwalający zachować rabat wybrany przez Ciebie oraz udokumentować transakcję — działa bez zgody marketingowej, ponieważ służy wykonaniu sprzedaży. Część marketingowa, czyli atrybucja sprzedażowa i raportowanie źródła, wymaga zgody marketingowej i bez niej nie jest utrwalana.

Analityczne i atrybucyjne

Technologie analityczne mierzą sposób korzystania z Serwisu i skuteczność jego funkcji. Nie uruchamiają się przed zgodą na analitykę. Blokada działa po stronie serwera: bez zgody znacznik Google nie jest w ogóle umieszczany na stronie.

Zaobserwowano:

• Google Analytics 4 (Google Ireland Limited): znacznik Google GT-KT49G3GF, identyfikator pomiaru G-2MWWJLEN1T, pliki _ga i _ga_* oraz żądania pomiarowe;
• Google Site Kit w zakresie zdarzeń WooCommerce;
• WooCommerce Sourcebuster (pomiar źródła zamówienia): sbjs_current, sbjs_current_add, sbjs_first, sbjs_first_add, sbjs_migrations, sbjs_session, sbjs_udata.

Sourcebuster jest technologią nieniezbędną i uruchamia się dopiero po zgodzie na analitykę.

Marketingowe

Technologie marketingowe służą pomiarowi i personalizacji kampanii, tworzeniu grup odbiorców albo przypisywaniu konwersji. Uruchamiają się dopiero po zgodzie marketingowej. Blokada obejmuje zarówno przeglądarkę, jak i transmisję po stronie serwera.

Zaobserwowano:

• Meta Pixel (Meta Platforms Ireland Limited): fbevents.js oraz pliki _fbp i _fbc;
• Meta Conversions API — przekazywanie zdarzeń z naszego serwera do Meta;
• Meta Advanced Matching — dopasowanie zaawansowane, czyli przekazanie Meta zahaszowanych danych kontaktowych podanych w zamówieniu w celu przypisania konwersji;
• Facebook for WooCommerce w zakresie sygnałów zakupowych;
• magazyny przeglądarki związane z Meta, w tym mc_pixel_session_data;
• utrwalanie identyfikatorów kliknięcia reklamy w cookie sp_dm_tracking: fbclid, gclid, msclkid, ttclid oraz parametry kampanii utm_*;
• marketingowa część parametru dm_closer opisana wyżej.

Bez zgody marketingowej identyfikatory kliknięcia reklamy są usuwane z żądania, zanim cokolwiek zdąży je zapisać, a pliki _fbp i _fbc nie są tworzone.

3. Operatorzy i odbiorcy

W zależności od wybranej funkcji informacje mogą być przetwarzane przez dostawców WooCommerce, Stripe, PayU, Google, Meta, hCaptcha, hostingu oraz zabezpieczeń. Zakres jest ograniczony do aktywnej konfiguracji i wybranych kategorii zgody.

Niektórzy dostawcy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Właściwy mechanizm transferu i zabezpieczenia zostaną opisane po ich aktualnym potwierdzeniu; do tego czasu nie składamy w tym zakresie deklaracji.

4. Zasada działania panelu zgód

Technologie niezbędne działają bez zgody. Analityka i marketing pozostają wyłączone do chwili aktywnego wyboru. Panel umożliwia zaakceptowanie wszystkich kategorii, pozostanie przy niezbędnych albo skonfigurowanie każdej kategorii osobno, a także późniejszą zmianę decyzji.

Samo pozostanie na stronie, przewinięcie jej, przejście do checkoutu, zamknięcie panelu klawiszem Escape ani upływ czasu nie stanowią zgody. Brak decyzji oznacza: niezbędne włączone, analityka wyłączona, marketing wyłączony.

Nie stosujemy cookie walla. Zakup, checkout i dostęp do zakupionego szkolenia działają w pełni bez zgody na analitykę i marketing.

Ponowne pytanie o zgodę. Poprzedni baner nie oferował równorzędnej odmowy ani ustawień szczegółowych. Decyzje zapisane w tamtym mechanizmie nie są traktowane jako ważna zgoda w rozumieniu obecnego panelu: są unieważniane, a Serwis pyta o zgodę ponownie. Do czasu nowego, wyraźnego wyboru analityka i marketing pozostają wyłączone.

5. Potwierdzenia zgody

Zapisujemy techniczne potwierdzenie każdej decyzji, aby móc wykazać, kiedy i w jakim zakresie została podjęta. Potwierdzenie zawiera: losowy, jednorazowy identyfikator zapisu, wersję banera, wersję polityki, znacznik czasu, stan trzech kategorii, rodzaj czynności oraz stan poprzedni i nowy.

Potwierdzenie nie zawiera imienia, nazwiska, adresu e-mail, numeru telefonu, pełnego adresu IP, surowej sygnatury przeglądarki, identyfikatorów fbclid, _fbp, _fbc ani odcisku urządzenia. Losowy identyfikator zapisu nie jest utrwalany w Twojej przeglądarce, więc nie łączy ze sobą kolejnych wizyt.

Potwierdzenia są przechowywane poza publiczną częścią serwera i nie są dostępne przez przeglądarkę. Awaria zapisu potwierdzenia nigdy nie blokuje zakupu ani checkoutu.

6. Okresy działania

Okres zależy od technologii, ustawień użytkownika i konfiguracji dostawcy. W obserwowanym przebiegu:

• wpconsent_preferences — 180 dni; po tym czasie panel pyta o decyzję ponownie;
• potwierdzenia zgody — 365 dni;
• _fbp i _fbc — do 90 dni;
• sp_dm_tracking — do 30 dni;
• _ga i _ga_* — około 2 lat;
• sesja WooCommerce — około 2 dni dla zaobserwowanego checkoutu;
• Sourcebuster — część wpisów sesyjna, a część utrzymywana w obrębie sesji lub konfiguracji WooCommerce;
• identyfikatory Stripe, hCaptcha i reCAPTCHA — okresy zróżnicowane, od sesyjnych do długoterminowych według ustawień dostawców.

Podane okresy są orientacyjne i mogą ulec zmianie wraz z konfiguracją lub zasadami dostawcy; aktualne informacje są dostępne w panelu zgód lub dokumentacji danego dostawcy.

7. Zarządzanie zgodą i jej cofnięcie

Przed uruchomieniem technologii nieniezbędnych możesz:

• zaakceptować albo odrzucić analitykę i marketing;
• dokonać wyboru osobno dla każdej kategorii;
• korzystać z podstawowych funkcji, w tym dokonać zakupu, bez zgody marketingowej;
• później zmienić lub cofnąć zgodę równie łatwo, jak jej udzieliłeś.

Decyzję zmienisz w każdej chwili przyciskiem „Ustawienia cookies”, dostępnym na każdej stronie Serwisu.

Cofnięcie zgody marketingowej zatrzymuje przyszłe uruchamianie Meta Pixel i Conversions API, wyłącza dopasowanie zaawansowane oraz usuwa _fbp, _fbc, utrwalone identyfikatory kliknięcia i marketingową część sp_dm_tracking. Cofnięcie zgody na analitykę zatrzymuje przyszłe zdarzenia analityczne.

Cofnięcie zgody nie usuwa koszyka, nie zmienia ceny, nie wylogowuje Cię i nie odbiera dostępu do zakupionego szkolenia. Zachowany zostaje niezbędny kontekst rozliczeniowy wybranego rabatu.

Czego cofnięcie zgody nie może zrobić. Cofnięcie działa na przyszłość. Nie powoduje odzyskania ani usunięcia danych, które zostały już wcześniej przekazane Meta lub Google na podstawie ważnej wtedy zgody. Nie wpływa też na zgodność z prawem przetwarzania dokonanego przed cofnięciem. Żądania wobec danych już przekazanych należy kierować do właściwego administratora zgodnie z Polityką prywatności.

Stan niejednoznaczny lub uszkodzony jest traktowany jako brak zgody i technologie nieniezbędne pozostają wyłączone.

8. Ustawienia przeglądarki i kontakt

Możesz dodatkowo usuwać cookies w ustawieniach przeglądarki. Zablokowanie cookies niezbędnych może uniemożliwić działanie koszyka, logowania albo płatności.

Pytania dotyczące cookies i danych można kierować na kontakt@skinpoint.pl. Właściwy administrator zostanie ustalony na podstawie kontekstu sprawy zgodnie z Polityką prywatności.

9. Wersjonowanie

Polityka jest osobnym, wersjonowanym dokumentem domenowym. Zmiana kategorii, dostawców, celów albo konfiguracji panelu zgód wymaga aktualizacji inwentarza i, gdy zmiana jest istotna, nadania nowej wersji.

Wersja 1.1 uzupełnia wersję 1.0 o: rozstrzygnięcie statusu sp_vsl_fp i dm_closer, Conversions API i dopasowanie zaawansowane, _fbc oraz sp_dm_tracking, potwierdzenia zgody, korektę okresu zapisu decyzji z 30 na 180 dni, zasadę ponownego pytania o zgodę oraz wyraźne wskazanie granic cofnięcia zgody.