Wiesz co to polityka prywatności sklepu? Płatności online to najbardziej wrażliwy obszar przetwarzania danych w e-commerce. Sprawdź, jakie zapisy musi zawierać polityka prywatności sklep internetowy w 2026 roku, aby spełnić wymogi RODO i PCI DSS.

Dane płatnicze należą do najczęściej atakowanych informacji w internecie. Dlatego ich ochrona wymaga szczególnej staranności i zgodności z wieloma standardami jednocześnie. Co więcej, od stycznia 2026 roku obowiązują zaostrzzone wymogi DSA dotyczące transparentności przetwarzania danych finansowych. W związku z tym, właściciele sklepów internetowych muszą dokładnie opisać w polityce prywatności wszystkie aspekty związane z płatnościami online.

Według raportu CERT Polska „Cyberbezpieczeństwo e-commerce 2025″, aż 43% naruszeń bezpieczeństwa w polskich sklepach dotyczyło właśnie danych płatniczych. Jednocześnie, kontrole UODO wykazały że 69% polityk prywatności nie zawiera wymaganych informacji o przetwarzaniu danych płatniczych. W rezultacie, właściciele otrzymują kary finansowe średnio 88 000 zł za nieprawidłową dokumentację. Dlatego warto poznać wszystkie kluczowe zapisy, które musi zawierać polityka prywatności sklep oferujący płatności elektroniczne.

Rodzaje płatności online i ich wpływ na politykę prywatności

Płatności przez zewnętrznego operatora (model przekierowania)

Najpopularniejszym rozwiązaniem w polskich sklepach są płatności przez zewnętrznych operatorów. W tym modelu klient jest przekierowywany do bramki płatniczej (PayU, Przelewy24, PayPal), gdzie wprowadza dane karty. Następnie, po pozytywnej autoryzacji wraca do sklepu. W konsekwencji, sklep nigdy nie ma dostępu do pełnych danych karty płatniczej.

Najpopularniejsi operatorzy w Polsce:

• PayU (własność PayU S.A., Polska)
• Przelewy24 (własność PayPro S.A., Polska)
• PayPal (PayPal Holdings Inc., USA)
• Stripe (Stripe Inc., USA/Irlandia)
• Tpay (Krajowy Integrator Płatności S.A., Polska)
• Dotpay (część grupy PayU)

Jakie dane sklep otrzymuje od operatora:

• Potwierdzenie płatności (sukces/porażka)
• Kwota transakcji
• Data i godzina transakcji
• Typ płatności (karta, przelew, BLIK)
• Ostatnie 4 cyfry karty (opcjonalnie, dla celów identyfikacji zwrotu)
• Status transakcji (oczekująca, zrealizowana, anulowana)

Czego sklep NIE otrzymuje:

• Pełny numer karty
• Kod CVV/CVC
• Data ważności (pełna)
• PIN użytkownika

Dzięki temu, sklep nie przetwarza pełnych danych płatniczych. W rezultacie, nie musi spełniać pełnych wymogów PCI DSS. Niemniej jednak, musi odpowiednio opisać ten proces w polityce prywatności.

Płatności z zapisanymi kartami (tokenizacja)

Coraz więcej sklepów oferuje możliwość zapisania karty dla szybszych przyszłych zakupów. Tymczasem nie oznacza to, że sklep przechowuje pełny numer karty. Zamiast tego, operator płatności tworzy token – zaszyfrowany identyfikator zastępujący dane karty.

Jak działa tokenizacja:

1. Pierwsza płatność – klient zaznacza „Zapisz kartę do przyszłych płatności”
2. Operator płatności (np. Stripe) zapisuje dane karty w swoim zabezpieczonym systemie
3. Tworzy token, np. tok_1A2B3C4D5E6F7G8H9I
4. Token przekazywany jest do sklepu
5. Sklep przechowuje: token + ostatnie 4 cyfry + data ważności (mm/rr) + typ karty (Visa/Mastercard)

Przy następnej płatności:

1. Klient wybiera zapisaną kartę (widzi „Visa ****1234, wygasa 12/27″)
2. Sklep wysyła token do operatora płatności
3. Operator autoryzuje płatność używając rzeczywistych danych karty
4. Sklep otrzymuje potwierdzenie

Kluczowa zasada: Token jest bezwartościowy bez autoryzacji operatora płatności. Nawet jeśli ktoś wykradnie token ze sklepu, nie będzie mógł go użyć bez dostępu do systemu operatora.

Płatności BLIK i przelewy szybkie

BLIK to metoda płatności specyficzna dla Polski, która nie wymaga podawania danych karty. Zamiast tego:

• Klient generuje 6-cyfrowy kod w aplikacji bankowej
• Wprowadza kod w sklepie
• Potwierdza transakcję w aplikacji bankowej

Dane przetwarzane przez sklep:

• Kod BLIK (6 cyfr, ważny 2 minuty)
• Numer telefonu powiązany z kodem (opcjonalnie)
• Potwierdzenie transakcji od operatora

Przelewy szybkie (Visa Checkout, Masterpass, Apple Pay, Google Pay):

• Klient autoryzuje się w systemie dostawcy (np. Apple Pay)
• Sklep otrzymuje token płatności (nie dane karty)
• Transakcja przetwarzana przez dostawcę

W obydwu przypadkach sklep nie przetwarza danych karty. Niemniej jednak, musi poinformować o współpracy z konkretnymi dostawcami płatności.

Standard PCI DSS – co musisz wiedzieć

Czym jest PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) to międzynarodowy standard bezpieczeństwa danych kart płatniczych opracowany przez główne organizacje kartowe (Visa, Mastercard, American Express, Discover, JCB). Przede wszystkim, określa on wymagania techniczne i organizacyjne dla firm przetwarzających dane płatnicze.

4 poziomy zgodności PCI DSS:

Level 1: Sklepy przetwarzające >6 milionów transakcji rocznie

• Wymóg: Coroczny audyt przez certyfikowanego audytora QSA
• Koszt certyfikacji: 50 000 – 200 000 zł rocznie

Level 2: Sklepy przetwarzające 1-6 milionów transakcji rocznie

• Wymóg: Roczna ankieta SAQ + skanowanie luk bezpieczeństwa

Level 3: Sklepy przetwarzające 20 000 – 1 milion transakcji e-commerce rocznie

• Wymóg: Roczna ankieta SAQ

Level 4: Sklepy przetwarzające <20 000 transakcji e-commerce rocznie

• Wymóg: Roczna ankieta SAQ (uproszczona)

Kluczowa informacja dla większości polskich sklepów:

Jeśli używasz zewnętrznego operatora płatności (PayU, Przelewy24, Stripe) i NIE przechowujesz danych kart na swoich serwerach, prawdopodobnie kwalifikujesz się do SAQ A – najprostszej formy compliance. W konsekwencji, nie musisz inwestować w kosztowne audyty.

Jak opisać PCI DSS w polityce prywatności

Mimo że większość sklepów nie przetwarza bezpośrednio danych kart, warto wspomnieć o PCI DSS dla zwiększenia zaufania klientów. Przykładowo:

„Bezpieczeństwo płatności – Standard PCI DSS

Bezpieczeństwo Twoich danych płatniczych jest naszym priorytetem. Dlatego:

1. Nie przechowujemy danych Twojej karty

• Wszystkie płatności kartą są obsługiwane przez certyfikowanych operatorów płatności
• Dane karty są przekazywane bezpośrednio do operatora (z pominięciem naszych serwerów)
• Nie mamy dostępu do pełnego numeru karty, kodu CVV ani PIN-u

2. Nasi operatorzy płatności są certyfikowani PCI DSS Level 1

PayU S.A. (Polska)

• Certyfikat PCI DSS Level 1 – najwyższy poziom bezpieczeństwa
• Audytowany przez zewnętrznych audytorów QSA (Qualified Security Assessor)
• Aktualna certyfikacja: [link do certyfikatu PayU]

Stripe Payments Europe Ltd. (Irlandia)

• Certyfikat PCI DSS Level 1
• Zgodność weryfikowana rocznie
• Aktualna certyfikacja: https://stripe.com/docs/security/stripe

3. Szyfrowanie danych

• Wszystkie dane płatnicze są szyfrowane protokołem TLS 1.3
• Połączenie zabezpieczone certyfikatem SSL Extended Validation (zielona kłódka w przeglądarce)
• Transmisja danych niemożliwa do przechwycenia przez osoby trzecie

4. Nasza rola w procesie płatności Otrzymujemy od operatora płatności wyłącznie:

• Potwierdzenie sukcesu/porażki transakcji
• Kwotę i datę płatności
• Typ płatności (karta Visa/Mastercard, przelew, BLIK)
• Ostatnie 4 cyfry karty (tylko do identyfikacji przy ewentualnym zwrocie)

Te dane nie pozwalają na wykonanie żadnej transakcji.”

Dzięki takiemu opisowi klient rozumie, że jego dane są bezpieczne i wie dokładnie kto ma do nich dostęp.

Kluczowy zapis 1: Administrator danych płatniczych

Kto jest administratorem – Ty czy operator płatności?

To fundamentalne pytanie, które często wprowadza w błąd właścicieli sklepów. Zgodnie z RODO, administratorem jest podmiot, który decyduje o celach i sposobach przetwarzania. Tymczasem w przypadku płatności mamy do czynienia z podwójnym administratorem (współadministratorami).

Sklep jest administratorem danych:

• Imię, nazwisko, adres e-mail (dla celów realizacji zamówienia)
• Adres dostawy
• Historia zamówień
• Informacji o płatności (kwota, data, status)

Operator płatności jest administratorem danych:

• Pełny numer karty płatniczej
• Kod CVV/CVC
• Data ważności karty
• Dane autoryzacji bankowej

Współadministrowanie występuje, gdy obydwa podmioty wspólnie decydują o przetwarzaniu niektórych danych (np. kwota transakcji, którą obydwa strony przechowują).

Jak prawidłowo opisać w polityce

„Administrator danych płatniczych

W procesie płatności online występują dwa podmioty przetwarzające Twoje dane:

1. ABC Sp. z o.o. (właściciel sklepu)

• Adres: ul. Przykładowa 1, 00-001 Warszawa
• NIP: 1234567890, REGON: 123456789
• E-mail: kontakt@abc.pl, tel. 22 123 45 67

Jest administratorem:

• Danych zamówienia (produkty, kwoty, data)
• Danych osobowych (imię, nazwisko, adres, e-mail, telefon)
• Informacji o statusie płatności (opłacone/nieopłacone)

2. PayU S.A. (operator płatności)

• Adres: ul. Grunwaldzka 186, 60-166 Poznań
• NIP: 7792369887
• Polityka prywatności: https://payu.pl/polityka-prywatnosci

Jest administratorem:

• Danych karty płatniczej (numer, CVV, data ważności)
• Danych autoryzacji transakcji
• Danych z systemu 3D Secure

Relacja między administratorami:

Działamy jako niezależni administratorzy:

• Nie mamy dostępu do pełnych danych Twojej karty (tylko PayU)
• PayU nie ma dostępu do Twoich danych osobowych w naszym sklepie
• Każdy administrator odpowiada za swój zakres przetwarzania

Nie zawarliśmy umowy o współadministrowaniu, ponieważ cele przetwarzania są rozdzielone:

• My: realizacja zamówienia
• PayU: obsługa płatności

Możesz realizować swoje prawa RODO wobec każdego administratora osobno:

• Dane zamówienia i konta: kontakt@abc.pl
• Dane płatności: privacy@payu.pl”

Taki zapis jasno rozgranicza odpowiedzialności i spełnia wymóg art. 26 RODO dotyczący współadministrowania.

Kluczowy zapis 2: Umowa powierzenia przetwarzania

Kiedy potrzebna jest umowa powierzenia

Zgodnie z art. 28 RODO, jeśli podmiot przetwarza dane w Twoim imieniu i na Twoje polecenie, musisz zawrzeć z nim umowę powierzenia przetwarzania danych. Niemniej jednak, w przypadku płatności online sytuacja jest bardziej złożona.

Operator płatności NIE jest podmiotem przetwarzającym (procesorem)

W większości przypadków operator płatności działa jako niezależny administrator, a nie podmiot przetwarzający. Dzieje się tak, ponieważ:

• Sam decyduje o sposobie przetwarzania danych kart (bezpieczeństwo, autoryzacja)
• Przetwarza dane dla własnych celów (wykrywanie oszustw, compliance z PCI DSS)
• Ma własne podstawy prawne przetwarzania

Kiedy POTRZEBNA jest umowa powierzenia:

Jeśli operator płatności przetwarza dodatkowe dane w Twoim imieniu, np.:

• System do zarządzania subskrypcjami (płatności cykliczne)
• Przechowywanie tokenów kart w Twoim systemie zarządzanym przez operatora
• Dodatkowo: systemy antyfraudowe działające w Twoim imieniu

Większość popularnych operatorów (PayU, Przelewy24, Stripe) zapewnia:

• Standardowe umowy o świadczenie usług płatniczych
• Klauzule zgodności z RODO w regulaminie
• Nie wymagają osobnej umowy powierzenia (bo nie są podmiotami przetwarzającymi)

Jak opisać w polityce prywatności

„Relacja z operatorem płatności

PayU S.A. nie jest naszym podmiotem przetwarzającym (procesorem)

PayU działa jako niezależny administrator danych płatniczych. Oznacza to:

• Przetwarza dane karty dla własnych celów (realizacja płatności, bezpieczeństwo, compliance)
• Sam decyduje o sposobie zabezpieczenia danych (PCI DSS)
• Odpowiada bezpośrednio przed użytkownikami za swój zakres przetwarzania

Podstawa współpracy:

• Umowa o świadczenie usług płatniczych (regulamin PayU)
• Klauzule zgodności z RODO zawarte w regulaminie PayU
• Polityka prywatności PayU: https://payu.pl/polityka-prywatnosci

Twoje prawa wobec PayU:

Możesz realizować swoje prawa RODO bezpośrednio wobec PayU:

• Prawo dostępu do danych płatniczych: privacy@payu.pl
• Prawo do usunięcia danych po zakończeniu rozliczeń
• Prawo do sprzeciwu wobec przetwarzania

PayU zobowiązuje się odpowiedzieć na Twoje żądanie w ciągu 30 dni.

Bezpieczeństwo danych u PayU:

• Certyfikat PCI DSS Level 1
• Szyfrowanie AES-256
• Regularne audyty bezpieczeństwa przez niezależne firmy
• Zgodność z dyrektywą PSD2 (Payment Services Directive)”

Dzięki takiemu zapisowi użytkownik wie, że operator płatności jest osobnym administratorem i może realizować wobec niego swoje prawa.

Kluczowy zapis 3: Zapisane karty i tokenizacja

Jak działają zapisane karty w praktyce

Funkcja „Zapisz kartę do przyszłych płatności” jest coraz popularniejsza w e-commerce. Niemniej jednak, wymaga szczególnej uwagi w polityce prywatności. Przede wszystkim, musisz wyjaśnić klientom co dokładnie jest zapisywane i gdzie.

Proces krok po kroku:

1. Pierwsza płatność z opcją zapisu
   • Klient zaznacza checkbox „Zapisz kartę do przyszłych płatności”
   • Wprowadza dane karty w bramce operatora (np. Stripe)
   • Operator tworzy token i przechowuje dane karty w swoim systemie PCI DSS
2. Co sklep przechowuje:
   • Token (np. cus_ABC123tok_XYZ789)
   • Ostatnie 4 cyfry (np. ****1234)
   • Data ważności (mm/rr, np. 12/27)
   • Typ karty (Visa, Mastercard, American Express)
   • Kraj wydania karty (opcjonalnie)
3. Co operator płatności przechowuje:
   • Pełny numer karty (zaszyfrowany)
   • Kod CVV (w niektórych systemach, zgodnie z PCI DSS)
   • Wszystkie dane niezbędne do autoryzacji przyszłych płatności

Bezpieczeństwo tokenizacji:

Token jest bezwartościowy dla atakujących. Przykładowo:

• Nawet jeśli ktoś wykradnie bazę tokenów ze sklepu, nie będzie mógł ich użyć
• Token działa tylko w kontekście Twojego konta w systemie operatora płatności
• Nie można odtworzyć pełnego numeru karty z tokenu

Prawidłowy zapis w polityce prywatności

„Zapisane karty płatnicze – tokenizacja

Oferujemy możliwość zapisania karty dla szybszych przyszłych zakupów. Oto jak to działa:

1. Czego NIE przechowujemy

Nigdy nie przechowujemy:

• Pełnego numeru Twojej karty
• Kodu CVV/CVC
• Pełnej daty ważności (tylko miesiąc i rok)
• PIN-u ani danych do logowania bankowego

2. Co przechowujemy u nas (w sklepie)

• Token – zaszyfrowany identyfikator karty, np. tok_1A2B3C4D5E6F
  • Token jest bezwartościowy dla osób trzecich
  • Można go użyć tylko w kontekście Twojego konta u operatora płatności
  • Nie pozwala na odtworzenie numeru karty
• Ostatnie 4 cyfry – np. ****1234
  • Do rozpoznania karty przy wyborze z listy zapisanych kart
• Data ważności – miesiąc i rok, np. 12/2027
  • Do sprawdzenia czy karta nie wygasła
• Typ karty – Visa, Mastercard, American Express
  • Do wyświetlenia odpowiedniej ikonki

3. Co przechowuje operator płatności (Stripe)

Stripe Payments Europe Ltd. (Irlandia) przechowuje w swoim zabezpieczonym systemie:

• Pełny numer karty (zaszyfrowany AES-256)
• Wszystkie dane niezbędne do autoryzacji płatności
• Zgodność: PCI DSS Level 1

Stripe jest niezależnym administratorem tych danych. Polityka prywatności Stripe: https://stripe.com/privacy

4. Jak płacić zapisaną kartą

Przy następnym zakupie:

1. Wybierasz zapisaną kartę z listy (widzisz: Visa ****1234, wygasa 12/27)
2. Potwierdzasz płatność (czasami wymagane CVV dla bezpieczeństwa)
3. Wysyłamy token do Stripe
4. Stripe autoryzuje płatność używając rzeczywistych danych karty
5. Otrzymujesz potwierdzenie

5. Bezpieczeństwo zapisanych kart

• Tokeny przechowywane w bazie danych zaszyfrowanej AES-256
• Dostęp do bazy tylko dla upoważnionych administratorów (2FA)
• Regularne kopie zapasowe (szyfrowane)
• Monitoring nieautoryzowanych prób dostępu 24/7

6. Zarządzanie zapisanymi kartami

Możesz w każdej chwili:

• Zobaczyć listę zapisanych kart: Panel klienta > Płatności > Zapisane karty
• Usunąć kartę: Kliknij „Usuń” przy danej karcie
  • Token zostanie usunięty z naszego systemu natychmiast
  • Dane karty u Stripe pozostają do 90 dni (rozliczenia, zwroty), następnie usuwane
• Dodać nową kartę lub zmienić domyślną

7. Twoje prawa

Masz prawo do:

• Dostępu do danych zapisanych kart (lista tokenów, ostatnie 4 cyfry)
• Usunięcia wszystkich zapisanych kart (natychmiastowe)
• Sprzeciwu wobec przechowywania tokenów

Uwaga: Usunięcie zapisanych kart nie wpływa na możliwość płatności – nadal możesz płacić wprowadzając dane karty przy każdym zakupie.”

Taki szczegółowy opis eliminuje obawy klientów dotyczące bezpieczeństwa i buduje zaufanie do funkcji zapisanych kart.

Kluczowy zapis 4: Dane zwrotów i reklamacji finansowych

Przetwarzanie danych przy zwrotach pieniężnych

Zwroty i reklamacje w e-commerce wiążą się z przetwarzaniem danych płatniczych. Przede wszystkim, musisz mieć możliwość zidentyfikowania oryginalnej transakcji. Następnie, zwrócić pieniądze na właściwe konto lub kartę. W związku z tym, polityka prywatności musi wyjaśniać ten proces.

Dane potrzebne do zwrotu:

Zwrot na kartę (transakcja kartowa):

• Ostatnie 4 cyfry karty (weryfikacja)
• ID transakcji oryginalnej
• Kwota do zwrotu
• Dane zamówienia (numer, data)

Zwrot przelewem (gdy płatność kartą niemożliwa):

• Numer konta bankowego (IBAN)
• Imię i nazwisko właściciela konta
• Adres (weryfikacja zgodności z danymi zamówienia)

Zwrot do portfela PayPal:

• Adres e-mail PayPal
• ID transakcji oryginalnej

Okresy przechowywania danych płatniczych

Zgodnie z przepisami finansowymi i księgowymi, dane transakcji muszą być przechowywane przez określony czas:

Dane księgowe (faktury, paragony):

• 5 lat od końca roku podatkowego (ustawa o rachunkowości)
• Obejmuje: dane do faktury, kwoty, daty, produkty

Dane transakcji płatniczych:

• 10 lat od transakcji (ustawa o przeciwdziałaniu praniu pieniędzy – AML)
• Dotyczy transakcji >15 000 euro lub podejrzanych transakcji

Dane zwrotów i reklamacji:

• 2 lata od daty rozpatrzenia (rękojmia konsumencka)
• Okres gwarancji + 1 rok dla produktów z gwarancją

Tokeny zapisanych kart:

• Do usunięcia przez użytkownika lub
• 3 lata od ostatniego użycia (automatyczne czyszczenie nieaktywnych)

Przykładowy zapis w polityce

„Zwroty i reklamacje – przetwarzanie danych płatniczych

1. Proces zwrotu pieniędzy

Zwracamy pieniądze na:

• Kartę użytą do płatności (domyślnie)
  • Potrzebujemy: ostatnie 4 cyfry (weryfikacja) + ID transakcji
  • Czas zwrotu: 3-5 dni roboczych (zależy od banku)
  • Zwrot pojawia się na wyciągu jako anulowanie transakcji
• Konto bankowe (jeśli zwrot na kartę niemożliwy)
  • Potrzebujemy: numer IBAN, imię i nazwisko właściciela
  • Weryfikujemy zgodność z danymi zamówienia
  • Czas zwrotu: 1-3 dni robocze
• Portfel PayPal (jeśli płatność przez PayPal)
  • Zwrot automatyczny na konto PayPal użyte do płatności
  • Czas zwrotu: natychmiastowy

2. Dane przechowywane dla celów zwrotów

Przechowujemy przez 2 lata od daty zwrotu/reklamacji:

• Numer zamówienia i data zakupu
• Kwota zwrotu i data zwrotu
• Powód zwrotu/reklamacji
• Korespondencja z klientem w sprawie zwrotu
• Ostatnie 4 cyfry karty (jeśli zwrot na kartę)

Podstawa prawna: Art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes (realizacja prawa do odstąpienia/reklamacji, dochodzenie roszczeń)

Po upływie 2 lat: Dane zwrotu usuwane automatycznie Wyjątek: Spory sądowe – dane zachowane do prawomocnego rozstrzygnięcia + 3 lata

3. Bezpieczeństwo danych przy zwrotach

• Weryfikujemy tożsamość osoby żądającej zwrotu (porównanie danych zamówienia)
• Zwrot wyłącznie na konto/kartę powiązane z oryginalną transakcją
• Nie akceptujemy żądań zwrotu na konta osób trzecich (ochrona przed oszustwami)

4. Dane do faktur korygujących

Jeśli wystawiliśmy fakturę, przy zwrocie tworzymy fakturę korygującą. Przechowujemy: 5 lat od końca roku podatkowego (ustawa o rachunkowości)

5. Twoje prawa przy zwrotach

Masz prawo do:

• Dostępu do danych zwrotu (historia w panelu klienta)
• Sprostowania danych (jeśli podałeś błędny numer konta)
• Usunięcia danych po upływie okresów obowiązkowych (2-5 lat)”

Taki zapis zapewnia pełną transparentność procesu zwrotów i wyjaśnia dlaczego niektóre dane są przechowywane przez dłuższy czas.

Kluczowy zapis 5: Wykrywanie oszustw i systemy antyfraudowe

Dlaczego systemy antyfraudowe są ważne

Oszustwa płatnicze to poważny problem w e-commerce. Dlatego większość sklepów oraz operatorów płatności stosuje systemy wykrywania podejrzanych transakcji. Niemniej jednak, takie systemy przetwarzają dane osobowe i wymagają odpowiednich podstaw prawnych oraz informacji w polityce prywatności.

Typowe wskaźniki podejrzanych transakcji:

• Wiele prób płatności z różnych kart w krótkim czasie
• Różne adresy dostawy dla tego samego numeru karty
• Zamówienia z wysokim ryzykiem (elektronika, biżuteria) na adresy poza UE
• Niezgodność między krajem wydania karty a adresem dostawy
• Nietypowe godziny składania zamówień (3-5 nad ranem)

Dane analizowane przez systemy antyfraudowe:

• Adres IP klienta i geolokalizacja
• Historia zamówień z danego IP
• Urządzenie (fingerprinting przeglądarki)
• Prędkość wypełniania formularza
• Zgodność danych (adres rozliczeniowy vs. dostawy)

Popularne systemy antyfraudowe:

• Stripe Radar (wbudowany w Stripe)
• PayU Fraud Detection
• Riskified (dla dużych sklepów)
• Signifyd (gwarancja zwrotu w przypadku oszustwa)

Podstawa prawna dla systemów antyfraudowych

Zgodnie z RODO, wykrywanie oszustw opiera się na prawnie uzasadnionym interesie administratora (art. 6 ust. 1 lit. f). Przede wszystkim, sklep ma uzasadniony interes w ochronie przed stratami finansowymi. Ponadto, operatorzy płatności mają obowiązek prawny wykrywania oszustw zgodnie z dyrektywą PSD2.

Niemniej jednak, musisz wyważyć interes z prawami użytkowników. Przykładowo, nie możesz odrzucać wszystkich zamówień z konkretnego kraju tylko dlatego, że stamtąd pochodziło kilka oszustw.

Jak opisać w polityce prywatności

„Wykrywanie oszustw i bezpieczeństwo transakcji

Stosujemy systemy wykrywania oszustw, aby chronić zarówno nas, jak i naszych klientów przed nieautoryzowanymi transakcjami.

1. Cel przetwarzania

Wykrywanie i zapobieganie:

• Transakcjom wykonanym skradzionymi kartami
• Wielokrotnym próbom płatności (card testing)
• Zamówieniom składanym przez boty
• Innym podejrzanym aktywnościom

2. Podstawa prawna

Art. 6 ust. 1 lit. f) RODO – prawnie uzasadniony interes:

• Nasz interes: Ochrona przed stratami finansowymi i reputacyjnymi
• Twój interes: Ochrona przed nieautoryzowanym użyciem Twojej karty
• Obowiązek prawny operatorów płatności: Dyrektywa PSD2 (silne uwierzytelnianie klienta)

3. Dane analizowane przez system

Automatycznie analizujemy:

• Adres IP i geolokalizacja (kraj, miasto)
• Historia zamówień z danego IP lub urządzenia
• Fingerprint urządzenia (rodzaj przeglądarki, system operacyjny, rozdzielczość ekranu)
• Prędkość wypełniania formularza (bot vs. człowiek)
• Zgodność danych:
  • Adres rozliczeniowy vs. adres dostawy
  • Kraj wydania karty vs. kraj dostawy
  • Adres e-mail vs. numer telefonu (czy z tego samego kraju)
• Wartość zamówienia i rodzaj produktów (elektronika = wyższe ryzyko)
• Historia konta (nowe konto vs. klient stały)

4. Jak działa system (automatyczne podejmowanie decyzji)

System przypisuje punkty ryzyka (risk score) każdej transakcji:

• Niskie ryzyko (0-30 punktów): Zamówienie przyjęte automatycznie
• Średnie ryzyko (31-70 punktów): Dodatkowa weryfikacja:
  • 3D Secure (dodatkowe potwierdzenie w banku)
  • Kontakt telefoniczny w celu potwierdzenia zamówienia
  • Prośba o przesłanie zdjęcia dokumentu tożsamości
• Wysokie ryzyko (71-100 punktów): Zamówienie odrzucone lub wstrzymane:
  • Automatyczne odrzucenie płatności
  • Konieczność kontaktu z obsługą klienta
  • Propozycja alternatywnych metod płatności (przelew tradycyjny, płatność przy odbiorze)

5. Twoje prawa wobec automatycznych decyzji (art. 22 RODO)

Masz prawo do:

• Interwencji ludzkiej: Jeśli Twoje zamówienie zostało odrzucone automatycznie, możesz poprosić o weryfikację przez pracownika
  • Kontakt: bezpieczenstwo@abc.pl lub tel. 22 123 45 67
  • Rozpatrzenie: do 24h w dni robocze
• Wyjaśnienia decyzji: Możemy poinformować Cię, które czynniki wpłynęły na decyzję (bez ujawniania szczegółów algorytmu)
• Wyrażenia własnego stanowiska: Możesz przedstawić dodatkowe informacje potwierdzające legalność transakcji
• Sprzeciwu: Możesz wyrazić sprzeciw wobec automatycznego odrzucenia (rozpatrzymy indywidualnie)

6. Współpraca z operatorami płatności

Operatorzy płatności (PayU, Stripe) stosują własne systemy antyfraudowe:

• Stripe Radar: Machine learning wykrywający podejrzane wzorce
• PayU Fraud Detection: Analiza w czasie rzeczywistym

Te systemy działają niezależnie od naszego i mogą odrzucić transakcję nawet jeśli nasz system ją zaakceptował.

7. Okres przechowywania danych antyfraudowych

• Dane o odrzuconych transakcjach: 12 miesięcy (analiza trendów oszustw)
• Blacklista adresów IP/kart: 24 miesiące od ostatniego incydentu
• Zgłoszenia oszustw do organów ścigania: 5 lat (postępowania karne)

8. Nie używamy danych antyfraudowych do innych celów

Dane zebrane do wykrywania oszustw NIE są używane do:

• Profilowania w celach marketingowych
• Sprzedaży innym firmom
• Jakichkolwiek celów niezwiązanych z bezpieczeństwem transakcji”

Dzięki takiemu opisowi spełniasz wymóg transparentności automatycznego podejmowania decyzji (art. 22 RODO) oraz informujesz o prawie do interwencji ludzkiej.

Kluczowy zapis 6: Transfer danych płatniczych do USA

Dlaczego transfer do USA jest istotny

Wiele popularnych operatorów płatności ma siedziby w USA lub przetwarza dane na serwerach amerykańskich. Przykładowo:

• Stripe Inc. – główna siedziba w San Francisco, USA (choć dla UE działa Stripe Payments Europe Ltd. w Irlandii)
• PayPal Holdings Inc. – siedziba w San Jose, Kalifornia, USA
• Shopify Payments – dane mogą być przetwarzane w USA

Jednocześnie, nawet jeśli operator ma siedzibę europejską (np. PayU Polska), może korzystać z usług podwykonawców amerykańskich (np. systemy antyfraudowe, cloud computing). W związku z tym, polityka prywatności musi informować o transferach międzynarodowych.

Aktualna sytuacja prawna transferów UE-USA (2026)

W lipcu 2023 weszła w życie nowa decyzja adequacyjna UE-USA zwana EU-US Data Privacy Framework (DPF). Niemniej jednak, nadal wymaga się dodatkowych zabezpieczeń i transparentności.

Co musi zawierać informacja o transferze:

1. Wskazanie państwa trzeciego (USA)
2. Nazwa konkretnej firmy amerykańskiej
3. Podstawa transferu (decyzja adequacyjna + SCC)
4. Certyfikacja firmy w ramach DPF (link do weryfikacji)
5. Prawo do uzyskania kopii zabezpieczeń

Przykładowy zapis w polityce

„Przekazywanie danych płatniczych do Stanów Zjednoczonych

Niektórzy nasi partnerzy płatniczy mają siedziby lub serwery w USA:

1. Stripe Inc. (USA) / Stripe Payments Europe Ltd. (Irlandia)

Podmiot przetwarzający w UE: Stripe Payments Europe Ltd. 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlandia

Podmiot macierzysty w USA: Stripe Inc. 510 Townsend Street, San Francisco, CA 94103, USA

Transfer danych: Mimo że główne przetwarzanie odbywa się w Irlandii, niektóre dane mogą być przekazywane do USA w następujących celach:

• Wykrywanie oszustw (globalna baza wzorców)
• Wsparcie techniczne i rozwój systemu
• Backup i disaster recovery

Zabezpieczenia transferu:

• Decyzja adequacyjna: EU-US Data Privacy Framework z 10.07.2023
• Certyfikacja Stripe: https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TOWQAA4
• Standard Contractual Clauses (SCC): Zatwierdzone przez Komisję Europejską
• Dodatkowe środki: Szyfrowanie end-to-end, kontrola dostępu, audyty

Twoje prawa:

• Możesz uzyskać kopię SCC: kontakt@abc.pl
• Możesz wyrazić sprzeciw wobec transferu do USA (może ograniczyć dostępne metody płatności)

Weryfikacja certyfikacji: Regularnie (co 6 miesięcy) sprawdzamy czy Stripe utrzymuje certyfikację w Data Privacy Framework. Ostatnia weryfikacja: 15.01.2026 Następna planowana: 15.07.2026

2. PayPal Holdings Inc. (USA)

Siedziba: 2211 North First Street, San Jose, CA 95131, USA

Transfer danych: Wszystkie dane PayPal są przetwarzane w USA (PayPal nie ma odrębnej struktury europejskiej dla przetwarzania).

Zabezpieczenia:

• Decyzja adequacyjna: EU-US Data Privacy Framework
• Certyfikacja PayPal: https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000GnVJAA0
• Standard Contractual Clauses
• Polityka prywatności PayPal: https://www.paypal.com/privacy

3. Co możesz zrobić, jeśli nie chcesz transferu do USA

Oferujemy alternatywne metody płatności bez transferu danych poza UE:

• PayU (Polska) – dane przetwarzane wyłącznie w Polsce
• Przelewy24 (Polska) – serwery w Polsce
• Przelew tradycyjny – dane bankowe przetwarzane przez Twój bank (UE)
• Płatność przy odbiorze – brak przetwarzania danych płatniczych online

Możesz wybrać metodę płatności przy składaniu zamówienia.”

Taki szczegółowy opis zapewnia pełną transparentność transferów międzynarodowych i daje użytkownikom świadomy wybór.

Gotowe rozwiązanie – polityka prywatności z płatnościami

Samodzielne przygotowanie wszystkich wymaganych zapisów dotyczących płatności online to skomplikowane zadanie wymagające wiedzy prawniczej i technicznej. Dlatego warto skorzystać z profesjonalnego generatora polityki prywatności uwzględniającego specyfikę e-commerce.

Generator dostępny na Regulaminowo.pl oferuje:

✓ Automatyczne dostosowanie do stosowanych metod płatności (PayU, Przelewy24, Stripe, PayPal, BLIK) ✓ Sekcje o tokenizacji i zapisanych kartach ✓ Informacje o PCI DSS i bezpieczeństwie danych płatniczych ✓ Zapisy o systemach antyfraudowych zgodne z art. 22 RODO ✓ Transfer do USA z certyfikacjami Data Privacy Framework ✓ Procedury zwrotów i reklamacji finansowych ✓ Wszystkie wymagane podstawy prawne i okresy przechowywania ✓ Regularną aktualizację o nowe wymogi prawne ✓ Dodatkowo: regulamin sklepu internetowego z sekcją o płatnościach

Korzyści z profesjonalnego generatora:

• Oszczędność czasu: 15-30 minut vs. 20-40 godzin samodzielnego pisania
• Pewność zgodności: 95% compliance vs. 20% przy wzorach z internetu
• Koszt: 300-800 zł vs. 3 000-10 000 zł za kancelarię prawną
• Aktualizacje: automatyczne vs. konieczność śledzenia zmian prawnych

Podsumowanie – checklist zapisów o płatnościach

Przed publikacją polityki prywatności sprawdź, czy zawiera wszystkie kluczowe zapisy dotyczące płatności online:

✅ Administrator danych płatniczych – rozgraniczenie między sklepem a operatorem płatności
✅ Informacja o PCI DSS – certyfikacja operatorów, poziom bezpieczeństwa
✅ Dane NIE przechowywane przez sklep – wyraźne wskazanie że nie masz dostępu do pełnych numerów kart
✅ Tokenizacja zapisanych kart – szczegółowy opis jak działają zapisane karty
✅ Bezpieczeństwo danych – szyfrowanie TLS/SSL, certyfikaty, audyty
✅ Zwroty i reklamacje – proces zwrotu pieniędzy, dane potrzebne, okresy przechowywania
✅ Systemy antyfraudowe – transparentność automatycznego podejmowania decyzji, prawo do interwencji ludzkiej
✅ Transfer do USA – wskazanie firm amerykańskich, decyzja adequacyjna, certyfikacje DPF
✅ Okresy przechowywania – konkretne lata dla danych księgowych (5 lat), AML (10 lat), zwrotów (2 lata)
✅ Prawa użytkownika – procedury realizacji praw wobec operatorów płatności
✅ Alternatywne metody płatności – opcje bez transferu do USA dla użytkowników którzy tego chcą
✅ Dane kontaktowe – dedykowany e-mail do spraw płatności i bezpieczeństwa

Pamiętaj, że prawidłowo przygotowana polityka prywatności sklep z płatnościami online to nie tylko wymóg prawny, ale również element budowania zaufania klientów. W rezultacie, przejrzysta komunikacja o bezpieczeństwie danych płatniczych przekłada się na wyższe wskaźniki finalizacji zakupów (średnio +18% według badań Baymard Institute 2025) i mniejszą liczbę porzuconych koszyków. Dlatego warto zainwestować w kompletny i zrozumiały dokument zgodny z RODO, PCI DSS i wymogami 2026 roku.