Co musi być na stronie internetowej firmy: dane firmy, polityka prywatności, cookies, regulamin i przepisy dla sklepów

Dane firmy: co podać i gdzie to napisano

Klient, urząd i asystent AI mają z Twojej strony bez trudu ustalić, kto ją prowadzi. Zakres danych zależy od formy działalności, ale kilka elementów obowiązuje każdego.

Podstawę daje ustawa o świadczeniu usług drogą elektroniczną. Jej art. 5 każe podać w sposób wyraźny, jednoznaczny i bezpośrednio dostępny adresy elektroniczne, czyli zwykle adres e-mail, oraz imię, nazwisko i adres albo firmę, siedzibę i adres. Definicja usługi z art. 2 pkt 4 jest szeroka: to usługa wykonywana na odległość, przez przesłanie danych na indywidualne żądanie odbiorcy. Strona, która po wpisaniu adresu wysyła odwiedzającemu treść, mieści się w tym opisie, dlatego dane z art. 5 podaję na każdej stronie firmowej. „Bezpośrednio dostępny” w praktyce oznacza stopkę albo stronę kontaktu z linkiem z każdej podstrony, a nie dane schowane w regulaminie w PDF.

Kodeks cywilny dodaje, że przedsiębiorca działa pod firmą (art. 43² § 1), a firmą osoby fizycznej jest jej imię i nazwisko (art. 43⁴). Do firmy można dopisać nazwę, na przykład „JFlow Labs Jonasz Jankowski”, ale sama nazwa bez imienia i nazwiska nie jest firmą jednoosobowej działalności. Prawo przedsiębiorców w art. 20 ust. 3 wymaga, żeby przedsiębiorca, który oferuje towary lub usługi na odległość, w tym przez internet, umieścił w ofercie co najmniej firmę, NIP i siedzibę albo adres.

Spółki kapitałowe mają osobne przepisy w Kodeksie spółek handlowych. Spółka z o.o. podaje na stronie firmę, siedzibę i adres, sąd rejestrowy i numer KRS, NIP, wysokość kapitału zakładowego i, jeśli należy do grupy, oznaczenie grupy spółek (art. 206 § 1). Spółka akcyjna podaje kapitał zakładowy i wpłacony (art. 374 § 1), prosta spółka akcyjna kapitał akcyjny (art. 300⁶¹ § 1), a spółka komandytowo-akcyjna ma podobny przepis w art. 127 § 5. Za brak tych danych członkowi zarządu grozi grzywna do 5000 zł (art. 595 § 1). Spółka jawna, partnerska i komandytowa nie mają w Kodeksie przepisu o stronie internetowej, ale obowiązują je przepisy z poprzednich akapitów.

Jeśli wykonujesz zawód regulowany, na przykład jesteś radcą prawnym, lekarzem albo architektem, art. 5 ust. 5 ustawy o świadczeniu usług drogą elektroniczną każe podać też samorząd zawodowy, tytuł zawodowy i państwo, w którym go przyznano, numer w rejestrze oraz informację o zasadach etyki zawodowej i o tym, gdzie je znaleźć. Przykład kompletnej strony z danymi jednoosobowej firmy to moja strona dane firmy, a wzory stopki do skopiowania dla każdej formy firmy zebrał przewodnik o danych firmy na stronie.

Cenniki i przepisy się zmieniają. Linki do źródeł są na dole strony.

Dane firmy na stronie według formy działalności.

Tabela jest szersza niż ekran: przesuń ją palcem w bok.

Polityka prywatności: kiedy jest potrzebna i co w niej napisać

Polityka prywatności to w praktyce sposób na spełnienie obowiązku informacyjnego z art. 13 RODO. Potrzebujesz jej, gdy strona zbiera dane osobowe, a zbiera je prawie każda: przez formularz, czat, newsletter albo analitykę.

RODO nie używa słów „polityka prywatności”. Art. 13 mówi, co administrator, czyli Twoja firma, która decyduje o danych, ma powiedzieć osobie w chwili zbierania jej danych. Na stronie najprościej zrobić to w jednym dokumencie z linkiem w stopce i w krótkiej informacji przy formularzu.

Najczęstszy błąd, jaki widzę, to polityka z generatora, której nikt nie dopasował do strony. Wymienia narzędzia, których strona nie używa, a pomija te, które ma: czat, mapę, filmy z YouTube, czcionki ładowane z serwerów Google, piksel reklamowy. Przy każdym z nich przeglądarka odwiedzającego łączy się z cudzym serwerem i wysyła mu co najmniej swój adres IP, więc dostawca powinien być na liście odbiorców. Druga rzecz to okres przechowywania: przy danych z formularza „do odwołania” rzadko pasuje, a „12 miesięcy od ostatniego kontaktu” mówi klientowi konkretnie, kiedy dane znikną.

Art. 13 wymienia, co musi się znaleźć w tej informacji. Poniżej lista w kolejności, w jakiej ją zwykle układam. Szerzej o samym dokumencie pisze przewodnik o polityce prywatności na stronie firmowej.

• Kto jest administratoremFirma i dane kontaktowe, a jeśli wyznaczyłeś inspektora ochrony danych, także jego kontakt.
• Po co i na jakiej podstawieCel każdego przetwarzania i podstawa prawna, na przykład odpowiedź na zapytanie, umowa albo zgoda na newsletter. Przy prawnie uzasadnionym interesie trzeba ten interes nazwać.
• Komu przekazujesz daneOdbiorcy albo ich kategorie: hosting, poczta, CRM, analityka, czat. Jeśli dane trafiają poza Europejski Obszar Gospodarczy, napisz dokąd i na jakiej podstawie.
• Jak długo je trzymaszOkres przechowywania albo kryteria, według których go ustalasz.
• Jakie prawa ma osobaDostęp do danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw, przeniesienie danych, cofnięcie zgody i skarga do Prezesa UODO.
• Czy podanie danych jest obowiązkoweI co się stanie, jeśli ktoś ich nie poda, na przykład że bez adresu e-mail nie odpiszesz na zapytanie.

Cookies: zgoda według art. 399 Prawa komunikacji elektronicznej

Od 10 listopada 2024 r. pliki cookie i podobne technologie reguluje art. 399 Prawa komunikacji elektronicznej. Zasada jest prosta: najpierw informacja i zgoda, potem zapis albo odczyt czegokolwiek w urządzeniu użytkownika.

Przepis mówi o przechowywaniu informacji w urządzeniu użytkownika i o odczycie informacji, która już tam jest, więc obejmuje nie tylko pliki cookie, ale też pamięć przeglądarki i podobne mechanizmy. Użytkownik musi wcześniej dostać jednoznaczną, łatwą i zrozumiałą informację o celu i o tym, że może to ustawić w przeglądarce, a potem wyrazić zgodę (art. 399 ust. 1).

Bez zgody wolno zapisać tylko to, co jest konieczne do przesłania komunikatu albo do dostarczenia usługi, o którą użytkownik sam prosi (art. 399 ust. 3). Koszyk w sklepie, logowanie i zapamiętanie wyboru w banerze mieszczą się w tym wyjątku. Statystyki, piksel reklamowy, mapy kliknięć i remarketing już nie.

Do zgody stosuje się przepisy o ochronie danych osobowych (art. 400), czyli między innymi art. 7 RODO. Wynika z niego, że wycofanie zgody musi być równie łatwe jak jej wyrażenie (art. 7 ust. 3). W praktyce oznacza to przycisk odmowy obok przycisku zgody i stały link „Ustawienia cookies” w stopce. Baner z jednym przyciskiem „OK, rozumiem” nie zbiera zgody, tylko informuje.

Jak ustawić baner razem z trybem zgody Google, piszę krok po kroku w przewodniku o Consent Mode v2 i banerze cookies. Jak sprawdzić, co strona zapisuje, zanim ktoś kliknie w baner, opisuje przewodnik o cookies przed zgodą.

Regulamin: kiedy jest obowiązkowy i co musi zawierać

Regulamin jest obowiązkowy, gdy świadczysz usługi drogą elektroniczną. Art. 8 ustawy o świadczeniu usług drogą elektroniczną każe go określić, udostępnić za darmo przed zawarciem umowy i świadczyć usługi zgodnie z nim.

Jeśli przez stronę klient zakłada konto, zapisuje się na newsletter, rezerwuje termin, kupuje albo korzysta z kalkulatora, który coś dla niego liczy, świadczysz usługę drogą elektroniczną i potrzebujesz regulaminu. Przy zwykłej stronie z ofertą i formularzem kontaktowym krótki regulamin też się przyda: mówi, jak działa formularz i jak zgłosić problem.

Regulamin musi określać co najmniej rodzaje i zakres usług, warunki ich świadczenia, w tym wymagania techniczne i zakaz dostarczania treści bezprawnych, warunki zawierania i rozwiązywania umów oraz tryb reklamacji (art. 8 ust. 3). Udostępniasz go tak, żeby dało się go pobrać, odtworzyć i zapisać, czyli zwykle jako stronę z linkiem w stopce. Postanowienia, których nie udostępniłeś w ten sposób, nie wiążą klienta (art. 8 ust. 2).

W regulaminach sklepów często zostaje link do unijnej platformy ODR do rozwiązywania sporów konsumenckich przez internet. Rozporządzenie (UE) 2024/3228 uchyliło przepisy o tej platformie z dniem 20 lipca 2025 r., a nowych skarg platforma nie przyjmowała już od 20 marca 2025 r. Link i wzmiankę o platformie usuń z regulaminu i ze stopki. Gotowy zapis do regulaminu w miejsce starego podaje przewodnik o zamkniętej platformie ODR.

Sklep internetowy: Omnibus, opinie, informacje dla konsumenta i dostępność

Sklep, który sprzedaje konsumentom, ma więcej obowiązków niż strona usługowa. Poniżej cztery, które najczęściej widzę niespełnione.

Firma, NIP i adres w ofercie, o których piszę wyżej, dotyczą sklepu tak samo jak każdej strony. W sklepie najłatwiej spełnić ten obowiązek w stopce każdej strony, także w koszyku.

• Najniższa cena z 30 dni przy promocjiGdy informujesz o obniżce, obok ceny obniżonej podajesz najniższą cenę z 30 dni przed wprowadzeniem obniżki (art. 4 ust. 2 ustawy o informowaniu o cenach towarów i usług). Gdy towar jest w sprzedaży krócej niż 30 dni, liczysz od pierwszego dnia sprzedaży (ust. 3). Ta sama zasada obowiązuje w reklamie z ceną (ust. 5).
• Informacja o weryfikacji opiniiJeśli pokazujesz opinie klientów, piszesz, czy i jak sprawdzasz, że pochodzą od osób, które kupiły albo używały produktu (art. 6 ust. 4 pkt 7 ustawy o przeciwdziałaniu nieuczciwym praktykom rynkowym). Twierdzenie, że opinie są sprawdzone, gdy nie są, i zamieszczanie fałszywych opinii to praktyki uznane za nieuczciwe w każdych okolicznościach (art. 7 pkt 25 i 26).
• Istotne informacje przy ofercieTa sama ustawa w art. 6 ust. 4 wymienia, co przy propozycji zakupu uznaje się za istotne: cechy produktu, dane i adres sprzedawcy, cenę z podatkami i kosztami dostawy, sposób płatności i dostawy oraz prawo odstąpienia od umowy. Ich zatajenie może być praktyką wprowadzającą w błąd.
• Dostępność dla osób z niepełnosprawnościamiOd 28 czerwca 2025 r. sklep sprzedający konsumentom podlega ustawie o zapewnianiu spełniania wymagań dostępności, chyba że prowadzi go mikroprzedsiębiorca (art. 4 pkt 1). Sklep objęty ustawą opisuje w regulaminie albo równoważnym dokumencie, jak spełnia wymagania dostępności (art. 32 ust. 2 pkt 1). Więcej w przewodniku o dostępności sklepu internetowego.

Kim jest mikroprzedsiębiorca i co to zmienia

Od tego, czy jesteś mikroprzedsiębiorcą, zależą wymogi dostępności sklepu. Pozostałe obowiązki z tego przewodnika obejmują firmy każdej wielkości.

Prawo przedsiębiorców w art. 7 ust. 1 pkt 1 definiuje mikroprzedsiębiorcę jako firmę, która w co najmniej jednym z dwóch ostatnich lat obrotowych zatrudniała średnio mniej niż 10 pracowników i miała roczny obrót netto albo sumę aktywów bilansu nie większe niż równowartość 2 milionów euro. Oba warunki muszą być spełnione razem.

Zwolnienie z ustawy o dostępności dotyczy usług mikroprzedsiębiorcy, a nie jego obowiązków z innych ustaw. Mały sklep jednoosobowy nadal podaje najniższą cenę z 30 dni, informację o opiniach, dane firmy, politykę prywatności i pyta o zgodę na cookies. Dostępna strona i tak się opłaca, bo obsłuży ją więcej klientów, w tym osoby korzystające z czytnika ekranu albo tylko z klawiatury.

Lista kontrolna: co musi być na stronie firmy

Tabela zbiera wszystko z tego przewodnika w jednym miejscu. Przejdź ją z otwartą stroną w drugiej karcie przeglądarki.

Lista kontrolna wymogów prawnych dla strony firmy, z przepisem przy każdym punkcie.

Tabela jest szersza niż ekran: przesuń ją palcem w bok.

Jak sprawdzić swoją stronę w kwadrans

Większość punktów z listy sprawdzisz sam, patrząc na stronę oczami klienta. Część wymaga zajrzenia pod spód, i tu pomaga automat.

Bezpłatny skan strony na audyt.jflowlabs.pl sprawdza część punktów za Ciebie: czy na stronie jest NIP, pełny adres z kodem pocztowym i dane kontaktowe, czy jest link do polityki prywatności i regulaminu, czy spółka podaje dane wymagane przez Kodeks spółek handlowych, czy nie został link do platformy ODR, czy przy przekreślonych cenach widać informację o najniższej cenie z 30 dni, czy opinie mają informację o weryfikacji i czy serwer zapisuje pliki śledzące jeszcze przed zgodą. Treści polityki i regulaminu nie oceni, bo to wymaga znajomości Twojej firmy.

Skan obejmuje stronę główną i do trzech podstron. Przy okazji sprawdza też, co o stronie widzą Google, ChatGPT i Claude. Wynik dostajesz po około minucie jako prywatny link, który działa 24 godziny.

1. Stopka na trzech losowych podstronachFirma, adres, e-mail, NIP, a w spółce sąd, KRS i kapitał. Dane mają być takie same jak w CEIDG albo w KRS.
2. Formularz kontaktowyObok formularza krótka informacja, kto jest administratorem danych, i link do polityki prywatności.
3. Pierwsze wejście w oknie prywatnymOtwórz stronę w oknie prywatnym i, zanim klikniesz w baner, zajrzyj w narzędziach przeglądarki do listy plików cookie. Pliki statystyk i reklam nie powinny się jeszcze pojawić.
4. Odmowa i wycofanie zgodyKliknij odmowę i sprawdź, czy da się potem zmienić decyzję z linku w stopce, równie łatwo, jak się ją wyraziło.
5. Regulamin i politykaCzy wymieniają narzędzia, których naprawdę używasz, czy nie powołują się na art. 173 Prawa telekomunikacyjnego, który przestał obowiązywać, i czy nie ma w nich platformy ODR.
6. W sklepie: jedna promocja od początku do końcaCzy przy cenie obniżonej widać najniższą cenę z 30 dni i czy przed przyciskiem zamówienia klient widzi cenę z dostawą i informację o odstąpieniu od umowy.

Jak mogę pomóc

Zacznij od bezpłatnego skanu. Pokaże braki, które da się wyłapać z zewnątrz, i podpowie, kto je poprawi.

Poprawki techniczne, które wychodzą z tej listy, na przykład stopkę z danymi firmy, baner zgody z równymi przyciskami albo czcionki przeniesione na własny serwer, wdrażam w ramach usługi strony internetowe i wyceniam osobno po skanie. Treść polityki prywatności i regulaminu ustal z prawnikiem albo przygotuj na podstawie tego, co naprawdę robisz z danymi klientów, bo żaden automat tego za Ciebie nie wie.

Pracuję zdalnie, dla firm z całej Polski. Jeśli przy okazji chcesz sprawdzić, czy strona jest bezpieczna, zajrzyj do przewodnika o bezpieczeństwie strony firmowej.

Pytania i odpowiedzi