01За тази политика
Тази Политика за поверителност обяснява как COTRONIKA EOOD (“ние”, “нас”, “наш”), дружеството, което управлява платформата UXO на uxo.bgи свързаните с нея услуги (наричани “Услуга”), събира, използва, споделя и защитава лични данни.
Тя обхваща маркетинговия сайт на uxo.bg, клиентските приложения за поръчки, които ресторантите внедряват под бранда UXO, таблото за персонала, използвано от екипите на ресторантите, както и повърхностите за откриване в маркетплейса — заедно, Услугата.
Тази политика е написана на ясен език, за да разбирате какво правим и какви са вашите права. Когато използваме технически термини от Общия регламент относно защитата на данните на ЕС (Regulation (EU) 2016/679, “GDPR”), ги обясняваме.
02Кои сме ние
COTRONIKA EOOD е българско дружество с ограничена отговорност, което управлява UXO.
- Правно наименование
- COTRONIKA EOOD
- UIC / EIK
- 202457989
- VAT
- BG202457989
- Седалище и адрес на управление
- Sofia 1700, Bulgaria
- Имейл за контакт
- [email protected]
Не сме назначили определено длъжностно лице по защита на данните (DPO), тъй като нашите операции по обработване не достигат задължителните прагове по Article 37 GDPR. Въпреки това можете да се свържете с нас по всеки въпрос, свързан с поверителността, на имейла по-горе.
03Какви лични данни събираме
Категориите лични данни, които събираме, зависят от начина, по който взаимодействате с Услугата.
Данни за акаунта на собственик на ресторант / персонал (ние сме администратор)
- Данни за самоличност и контакт — име, имейл, телефонен номер, предпочитан език.
- Данни за бизнеса — име на ресторанта или дружеството, адрес, държава, фирмена регистрация и VAT номера, когато е приложимо.
- Данни за автентикация — хеширана парола, еднократни кодове, изпратени на имейла ви за вход и верификация, токени за сесия.
- Данни за фактуриране — план, период на фактуриране, адрес за фактуриране, последните четири цифри на платежна карта (ние никога не получаваме пълния номер на картата, вижте Section 6), история на фактурите.
- Комуникации, които ни изпращате — имейли до поддръжката, съобщения през контактната форма, отговори на наши служебни имейли.
Данни за гости / клиенти, въведени чрез Услугата от ресторант (ние сме обработващ)
- Данни за поръчки — избрани артикули, варианти, бележки към кухнята, час на поръчката, номер на маса или данни за взимане/доставка.
- Данни за контакт на клиента — име, телефонен номер, имейл и адрес за доставка, когато гостът прави поръчка за взимане, доставка или резервация, или избере да получава актуализации за статуса.
- Данни за акаунт — когато гост създаде акаунт за поръчки от разстояние, имейлът или телефонът, с които се верифицира, предпочитаният език, запазените адреси за доставка.
Обработваме тази категория само по документирани указания на ресторанта, който притежава обекта, съгласно условията на нашия Договор за обработка на лични данни (вижте /legal/dpa). Не продаваме, не отдаваме под наем и не използваме тези данни за собствени маркетингови цели.
Технически данни, които събираме от всеки, който използва Услугата
- IP адрес, тип устройство, браузър, операционна система, препращащ URL.
- Прегледани страници, прекарано време, взаимодействия с интерфейса, приблизителна локация, изведена от IP.
- Функционални бисквитки — например бисквитката
uxo_locale, която помни избора ви на език между отделните страници. - Аналитични бисквитки, зададени от Google Analytics на маркетинговия сайт uxo.bg (вижте Section 9 за бисквитките).
- Сървърни логове — URL на заявките, кодове на статуса, времеви отпечатъци, съкратени User-Agent низове — съхранявани за оперативни цели и сигурност.
04Как използваме личните данни и на какви правни основания
Обработваме лични данни само когато имаме законосъобразно основание по Article 6 GDPR. Таблицата по-долу посочва основните цели и основанието, на което се позоваваме за всяка от тях.
| Цел | Правно основание |
|---|---|
| Предоставяне и поддържане на Услугата, осигуряване на достъп до вашия акаунт, предоставяне на клиентските интерфейси за поръчки | Изпълнение на договор (Art. 6(1)(b)) |
| Приемане на плащания, издаване на фактури, управление на абонаменти, събиране на просрочени суми | Изпълнение на договор (Art. 6(1)(b)) |
| Изпращане на служебни имейли (кодове за вход, възстановяване на парола, промени по акаунта, разписки за плащане, известия за сигурност) | Изпълнение на договор (Art. 6(1)(b)) |
| Спазване на нашите задължения по данъчно, счетоводно, анти-пране на пари и потребителско законодателство | Правно задължение (Art. 6(1)(c)) |
| Защита на Услугата срещу измами, злоупотреби и заплахи за сигурността; разследване на инциденти | Наш законен интерес да поддържаме Услугата сигурна (Art. 6(1)(f)) |
| Подобряване на Услугата — обобщен анализ на използването, продуктово проучване, наблюдение на грешки | Наш законен интерес да управляваме и подобряваме Услугата (Art. 6(1)(f)) |
| Изпращане на маркетингови имейли за нови функции и съобщения на UXO до съществуващи клиенти | Наш законен интерес да популяризираме Услугата сред съществуващи клиенти, с възможност за отказ във всеки имейл (Art. 6(1)(f)) |
| Задаване на аналитични бисквитки на маркетинговия сайт uxo.bg | Вашето съгласие (Art. 6(1)(a)) |
| Обработване на данни за поръчки на гости / клиенти от името на ресторант | Действаме като обработващ; ресторантът определя и се позовава на собственото си правно основание по своето споразумение с госта |
06Международни трансфери
Услугата работи върху наша собствена инфраструктура в Bulgaria (EU). Някои от нашите подобработващи обаче са установени в USA или оперират глобална инфраструктура. Когато лични данни се прехвърлят извън Европейското икономическо пространство, се позоваваме на подходящите гаранции, изисквани от Chapter V GDPR:
- Standard Contractual Clauses на Европейската комисия (Decision 2021/914), подписани с доставчика, и
- когато доставчикът участва в EU-US Data Privacy Framework, решението за адекватност от 10 July 2023 в комбинация със self-certification на доставчика.
Можете да поискате копие от приложимите гаранции за конкретен трансфер, като пишете на [email protected].
07Колко дълго пазим личните данни
Съхраняваме лични данни само толкова дълго, колкото са ни необходими за целите, посочени в тази политика, или колкото изисква законът.
- Данни за акаунта
- Съхраняват се, докато абонаментът ви е активен. Изтриват се (или необратимо се анонимизират) в рамките на три месеца след края на абонамента ви, освен когато трябва да пазим конкретни записи по-дълго, за да изпълним законово задължение (например счетоводни и данъчни документи, които Законът за счетоводството и Законът за ДДС изискват да пазим поне десет години).
- Данни за поръчки и данни за гости клиенти
- Съхраняват се, докато абонаментът на ресторанта е активен, и се изтриват в рамките на три месеца след прекратяването на абонамента, при същите изключения за счетоводно / данъчно съхранение, посочени по-горе.
- Кодове за вход и токени за възстановяване на парола
- Изтичат автоматично в рамките на времето за живот, зададено в Услугата (обичайно минути до часове), и след това се изтриват.
- Сървърни логове и телеметрия за сигурност
- Съхраняват се до деветдесет дни, освен ако не са свързани с конкретен инцидент в процес на разследване.
- Записи за отказ от маркетингови имейли
- Съхраняват се безсрочно, за да можем да спазваме отказа дори след като закриете акаунта си.
08Вашите права
По GDPR имате следните права във връзка с личните данни, които съхраняваме за вас:
- Достъп (Art. 15) — да поискате копие от личните данни, които съхраняваме за вас.
- Коригиране (Art. 16) — да поискате да поправим неточни или непълни данни.
- Изтриване (Art. 17) — да поискате да изтрием вашите данни, когато е налице някое от основанията по GDPR.
- Ограничаване (Art. 18) — да поискате да ограничим начина, по който използваме данните ви, докато спорът бъде разрешен.
- Преносимост (Art. 20) — да получите данните, които сте ни предоставили, в структуриран, широко използван и машинно четим формат и да поискате да ги предадем на друг администратор, когато това е технически възможно.
- Възражение (Art. 21) — да възразите срещу обработване, основано на нашите законни интереси, включително директен маркетинг, по причини, свързани с вашата конкретна ситуация.
- Оттегляне на съгласие (Art. 7(3)) — когато се позоваваме на вашето съгласие, да го оттеглите по всяко време. Оттеглянето не засяга законосъобразността на обработването, извършено преди него.
- Подаване на жалба до надзорен орган. В България компетентният орган е Комисия за защита на личните данни, www.cpdp.bg.
За да упражните което и да е от тези права, пишете на [email protected]. Ще отговорим в рамките на един месец от получаване на искането ви, както изисква Article 12(3) GDPR. Можем да удължим този срок с още до два месеца, когато искането е сложно; ако го направим, ще ви уведомим в рамките на първия месец и ще обясним защо.
Ако искането ви се отнася до данни за гости / клиенти, които ресторант е въвел чрез Услугата, моля, първо го адресирайте до ресторанта — той е администраторът. Ние ще го подкрепим при отговора.
10Сигурност
Прилагаме подходящи технически и организационни мерки за защита на личните данни срещу случайно или незаконосъобразно унищожаване, загуба, изменение, неразрешено разкриване или достъп. Мерките включват:
- криптиране при пренос (TLS) за целия трафик към и от Услугата;
- криптиране при съхранение за резервни копия и чувствителни хранилища на данни;
- контрол на достъпа по роли и принцип на минималните права за персонала с достъп до продукционни системи;
- изолация на многонаемна среда, която гарантира, че един ресторант не може да получи достъп до данните на друг;
- хеширане на пароли със salt и бавен алгоритъм; токени за вход, които изтичат и се подменят;
- логове на административни действия, сървърни логове, съхранявани за оперативен и защитен преглед;
- регулярни резервни копия, security patching и прегледи на сигурността на подобработващите, изброени в Section 5.
Нито една система не е напълно сигурна. Ако нарушение на сигурността на лични данни ви засегне, ще уведомим вас и съответния надзорен орган, когато GDPR изисква това от нас (Art. 33-34).
11Деца
Услугата не е насочена към деца под шестнадесетгодишна възраст и ние съзнателно не събираме лични данни от тях. Ако разберете, че дете ни е предоставило лични данни, моля, свържете се с нас на [email protected], за да можем да ги изтрием.
12Промени в тази политика
Можем периодично да актуализираме тази политика, за да отразим промени в Услугата, в нашите подобработващи или в приложимото право. Когато го правим, ще променяме датата “Last updated” в горната част на страницата. Ако промените са съществени, ще ви дадем разумно предварително известие — обичайно по имейл, ако имате акаунт при нас, или чрез банер в Услугата.
13Контакт
За всеки въпрос относно тази политика или начина, по който обработваме лични данни, пишете на [email protected] или по поща до COTRONIKA EOOD, Sofia 1700, Bulgaria.