01O tej polityce
Niniejsza Polityka prywatności wyjaśnia, w jaki sposób COTRONIKA EOOD (“my”, “nas”, “nasz”), spółka prowadząca platformę UXO pod adresem uxo.bgoraz powiązane z nią usługi (dalej “Usługa”), zbiera, wykorzystuje, udostępnia i chroni dane osobowe.
Polityka obejmuje marketingową stronę internetową uxo.bg, aplikacje do składania zamówień dla gości, które restauracje osadzają pod marką UXO, panel dla personelu używany przez zespoły restauracyjne oraz powierzchnie marketplace służące do odkrywania lokali - łącznie stanowiące Usługę.
Dokument został napisany prostym językiem, aby mogli Państwo zrozumieć, co robimy i jakie prawa Państwu przysługują. Gdy posługujemy się terminami technicznymi z unijnego ogólnego rozporządzenia o ochronie danych (Regulation (EU) 2016/679, “RODO”), objaśniamy je.
02Kim jesteśmy
COTRONIKA EOOD to bułgarska spółka z ograniczoną odpowiedzialnością prowadząca UXO.
- Nazwa prawna
- COTRONIKA EOOD
- UIC / EIK
- 202457989
- VAT
- BG202457989
- Siedziba rejestrowa
- Sofia 1700, Bulgaria
- Adres email do kontaktu
- [email protected]
Nie wyznaczyliśmy inspektora ochrony danych (DPO), ponieważ nasze operacje przetwarzania nie osiągają progów obowiązkowych określonych w Article 37 GDPR. W każdej sprawie dotyczącej prywatności można jednak skontaktować się z nami pod powyższym adresem email.
03Jakie dane osobowe zbieramy
Kategorie zbieranych przez nas danych osobowych zależą od tego, w jaki sposób korzystają Państwo z Usługi.
Dane konta właściciela restauracji / personelu (jesteśmy administratorem danych)
- Dane identyfikacyjne i kontaktowe - imię i nazwisko, adres email, numer telefonu, preferowany język.
- Dane firmowe - nazwa restauracji lub spółki, adres, kraj, numery rejestrowe spółki i VAT, jeżeli mają zastosowanie.
- Dane uwierzytelniające - skrót hasła, jednorazowe kody wysyłane na Państwa adres email do logowania i weryfikacji, tokeny sesji.
- Dane rozliczeniowe - plan, cykl rozliczeniowy, adres rozliczeniowy, cztery ostatnie cyfry karty płatniczej (nigdy nie otrzymujemy pełnego numeru karty, zob. Sekcja 6), historia faktur.
- Komunikacja kierowana do nas - emaile do zespołu wsparcia, wiadomości z formularza kontaktowego, odpowiedzi na nasze emaile usługowe.
Dane gości / klientów wprowadzane do Usługi przez restaurację (jesteśmy podmiotem przetwarzającym)
- Dane zamówienia - wybrane pozycje, warianty, uwagi dla kuchni, czas zamówienia, numer stolika albo szczegóły odbioru / dostawy.
- Dane kontaktowe klienta - imię i nazwisko, numer telefonu, adres email oraz adres dostawy, gdy gość składa zamówienie na odbiór, dostawę lub rezerwację albo wybiera otrzymywanie aktualizacji statusu.
- Dane konta - gdy gość tworzy konto do zamawiania zdalnego, adres email lub numer telefonu użyty do weryfikacji, preferencja językowa, zapisane adresy dostawy.
Tę kategorię przetwarzamy wyłącznie na udokumentowane polecenie restauracji prowadzącej lokal, na warunkach naszej umowy powierzenia przetwarzania danych osobowych (zob. /legal/dpa). Nie sprzedajemy tych danych, nie wynajmujemy ich i nie wykorzystujemy ich do własnych celów marketingowych.
Dane techniczne zbierane od każdej osoby korzystającej z Usługi
- Adres IP, typ urządzenia, przeglądarka, system operacyjny, odsyłający URL.
- Oglądane strony, czas spędzony w Usłudze, interakcje z interfejsem, przybliżona lokalizacja wyprowadzona z adresu IP.
- Funkcjonalne cookies - na przykład cookie
uxo_locale, które zapamiętuje wybór języka między stronami. - Analityczne cookies ustawiane przez Google Analytics w serwisie marketingowym uxo.bg (zob. Sekcja 9 dotycząca cookies).
- Logi serwera - adresy URL żądań, kody statusu, znaczniki czasu, skrócone ciągi User-Agent - przechowywane do celów operacyjnych i bezpieczeństwa.
Połączone strony na Facebooku i konta na Instagramie (opcjonalny dodatek, jesteśmy administratorem)
Jeśli Ty lub administrator działający w imieniu Twojej restauracji połączy stronę na Facebooku na stronie "Facebook i Instagram" w panelu właściciela, Meta daje nam dostęp do tej strony i do powiązanego z nią profesjonalnego konta na Instagramie. Przechowujemy wtedy:
- ID i nazwę strony na Facebooku oraz ID i nazwę użytkownika powiązanego konta na Instagramie;
- token dostępu do strony wydany przez Meta - przechowywany w postaci zaszyfrowanej, używany tylko przez nasze serwery i nigdy nie pokazywany w panelu;
- kto i kiedy połączył stronę;
- tworzone przez Ciebie posty: tekst, link, wybrane zdjęcia, harmonogram, ID zwrócone przez Meta oraz status lub błąd publikacji.
Używamy tych danych wyłącznie do publikowania Twoich postów w wybranym czasie na wybranej stronie i koncie na Instagramie. Nie czytamy wiadomości, komentarzy, obserwujących ani statystyk Twojej strony. Przy publikacji tekst i zdjęcia są przekazywane do Meta Platforms Ireland Ltd i od tej chwili obowiązuje je polityka prywatności Meta.
04Jak wykorzystujemy dane osobowe i na jakich podstawach
Przetwarzamy dane osobowe wyłącznie wtedy, gdy dysponujemy odpowiednią podstawą prawną zgodnie z Article 6 GDPR. Poniższa tabela przedstawia główne cele przetwarzania i podstawy, na których się opieramy.
| Cel | Podstawa prawna |
|---|---|
| Świadczenie i prowadzenie Usługi, zapewnienie dostępu do konta, udostępnianie interfejsów zamówień dla klientów | Wykonanie umowy (Art. 6(1)(b)) |
| Pobieranie płatności, wystawianie faktur, zarządzanie subskrypcjami, dochodzenie zaległych należności | Wykonanie umowy (Art. 6(1)(b)) |
| Wysyłka emaili usługowych (kody logowania, reset hasła, zmiany na koncie, potwierdzenia płatności, komunikaty bezpieczeństwa) | Wykonanie umowy (Art. 6(1)(b)) |
| Wypełnianie obowiązków podatkowych, księgowych, przeciwdziałania praniu pieniędzy i ochrony konsumentów | Obowiązek prawny (Art. 6(1)(c)) |
| Ochrona Usługi przed oszustwami, nadużyciami i zagrożeniami bezpieczeństwa; badanie incydentów | Nasz prawnie uzasadniony interes polegający na utrzymaniu bezpieczeństwa Usługi (Art. 6(1)(f)) |
| Doskonalenie Usługi - zagregowana analiza użytkowania, badania produktowe, monitorowanie błędów | Nasz prawnie uzasadniony interes polegający na prowadzeniu i ulepszaniu Usługi (Art. 6(1)(f)) |
| Wysyłka emaili marketingowych do obecnych klientów o nowych funkcjach UXO i ogłoszeniach | Nasz prawnie uzasadniony interes polegający na promowaniu Usługi wśród obecnych klientów, z możliwością rezygnacji w każdym emailu (Art. 6(1)(f)) |
| Ustawianie analitycznych cookies w serwisie uxo.bg | Państwa zgoda (Art. 6(1)(a)) |
| Przetwarzanie danych zamówień gości / klientów w imieniu restauracji | Działamy jako podmiot przetwarzający; restauracja samodzielnie ustala i opiera się na własnej podstawie prawnej wynikającej z jej relacji z gościem |
| Publikowanie tworzonych przez Ciebie postów na połączonej stronie na Facebooku i koncie na Instagramie | Wykonanie umowy (Art. 6(1)(b)) |
06Transfery międzynarodowe
Usługa działa na naszej własnej infrastrukturze w Bułgarii (UE). Część naszych podprzetwarzających ma jednak siedzibę w USA lub korzysta z globalnej infrastruktury. Gdy dane osobowe są przekazywane poza Europejski Obszar Gospodarczy, opieramy się na odpowiednich zabezpieczeniach wymaganych przez Chapter V GDPR:
- Standard Contractual Clauses Komisji Europejskiej (Decision 2021/914) podpisanych z dostawcą, oraz
- tam, gdzie dostawca uczestniczy w EU-US Data Privacy Framework, na adekwatności z 10 July 2023 w połączeniu z samocertyfikacją dostawcy.
Mogą Państwo poprosić o kopię zabezpieczeń stosowanych przy konkretnym transferze, pisząc na adres [email protected].
07Jak długo przechowujemy dane osobowe
Przechowujemy dane osobowe tylko tak długo, jak są nam potrzebne do celów wskazanych w tej polityce albo jak długo wymagają tego przepisy prawa.
- Dane konta
- Przechowywane przez okres aktywnej subskrypcji. Usuwane (albo nieodwracalnie anonimizowane) w ciągu trzech miesięcy od zakończenia subskrypcji, z wyjątkiem sytuacji, w których określone rejestry musimy przechowywać dłużej w celu wykonania obowiązku prawnego (na przykład dokumentacja księgowa i podatkowa, którą Accountancy Act i VAT Act nakazują nam przechowywać przez co najmniej dziesięć lat).
- Dane zamówień i dane gości / klientów
- Przechowywane przez okres aktywnej subskrypcji restauracji i usuwane w ciągu trzech miesięcy od zamknięcia subskrypcji, z zastrzeżeniem tych samych wyjątków dotyczących przechowywania dokumentacji księgowej / podatkowej jak powyżej.
- Kody logowania i tokeny resetu hasła
- Wygasają automatycznie po upływie czasu życia skonfigurowanego w Usłudze (zwykle od minut do godzin), a następnie są usuwane.
- Logi serwera i telemetria bezpieczeństwa
- Przechowywane do dziewięćdziesięciu dni, chyba że są powiązane z konkretnym incydentem będącym przedmiotem postępowania wyjaśniającego.
- Rejestry rezygnacji z emaili marketingowych
- Przechowywane bezterminowo, abyśmy mogli respektować rezygnację także po zamknięciu konta.
- Połączone strony na Facebooku i konta na Instagramie
- Token dostępu przechowujemy, dopóki nie odłączysz strony, nie połączysz się ponownie bez zezwolenia na nią, nie usuniesz naszej aplikacji w ustawieniach Facebooka lub nie zakończy się Twoja subskrypcja; wtedy jest natychmiast usuwany (po zakończeniu subskrypcji w ciągu trzech miesięcy, jak dane konta). Historia Twoich postów jest przechowywana razem z danymi konta.
08Państwa prawa
Na gruncie RODO przysługują Państwu następujące prawa w odniesieniu do danych osobowych, które posiadamy na Państwa temat:
- Dostęp (Art. 15) - mogą Państwo poprosić o kopię danych osobowych, które posiadamy na Państwa temat.
- Sprostowanie (Art. 16) - mogą Państwo poprosić nas o poprawienie danych nieprawidłowych lub niekompletnych.
- Usunięcie (Art. 17) - mogą Państwo zażądać usunięcia danych, gdy zachodzi jedna z przesłanek wskazanych w RODO.
- Ograniczenie (Art. 18) - mogą Państwo zażądać ograniczenia sposobu wykorzystania danych do czasu rozstrzygnięcia sporu.
- Przenoszenie (Art. 20) - mogą Państwo otrzymać dane przekazane nam przez Państwa w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz zażądać ich przekazania innemu administratorowi, jeżeli jest to technicznie wykonalne.
- Sprzeciw (Art. 21) - mogą Państwo wnieść sprzeciw wobec przetwarzania opartego na naszych prawnie uzasadnionych interesach, w tym marketingu bezpośredniego, z przyczyn związanych z Państwa szczególną sytuacją.
- Wycofanie zgody (Art. 7(3)) - tam, gdzie opieramy się na Państwa zgodzie, mogą ją Państwo wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
- Złożenie skargi do organu nadzorczego. W Bułgarii właściwym organem jest Commission for Personal Data Protection (Комисия за защита на личните данни), www.cpdp.bg.
Aby skorzystać z któregokolwiek z tych praw, prosimy napisać na adres [email protected]. Odpowiemy w terminie jednego miesiąca od otrzymania żądania, zgodnie z Article 12(3) GDPR. Możemy przedłużyć ten termin o maksymalnie kolejne dwa miesiące, jeżeli żądanie ma złożony charakter; w takim przypadku poinformujemy o tym w pierwszym miesiącu i wyjaśnimy przyczynę.
Jeżeli Państwa wniosek dotyczy danych gościa / klienta wprowadzonych do Usługi przez restaurację, prosimy w pierwszej kolejności skierować go do restauracji - to ona jest administratorem danych. My wesprzemy ją w udzieleniu odpowiedzi.
Dane z Facebooka i Instagrama.Aby przestać korzystać z połączonej strony, otwórz w panelu właściciela Online - Facebook i Instagram i wybierz Odłącz: zapisany token zostanie natychmiast usunięty. Możesz też usunąć aplikację "UXO Social" na Facebooku w Ustawienia - Integracje biznesowe, po czym token przestanie działać. Aby usunąć pozostałe dane strony i historię postów, napisz na [email protected] z adresu e-mail swojego konta; usuniemy je w ciągu miesiąca.
10Bezpieczeństwo
Stosujemy odpowiednie środki techniczne i organizacyjne, aby chronić dane osobowe przed przypadkowym lub bezprawnym zniszczeniem, utratą, zmianą, nieuprawnionym ujawnieniem lub dostępem. Środki te obejmują:
- szyfrowanie transmisji (TLS) dla całego ruchu do i z Usługi;
- szyfrowanie backupów i wrażliwych repozytoriów danych;
- kontrolę dostępu opartą na rolach oraz zasadę najmniejszych uprawnień dla personelu mającego dostęp do systemów produkcyjnych;
- izolację wielodzierżawną gwarantującą, że jedna restauracja nie uzyska dostępu do danych innej restauracji;
- haszowanie haseł z użyciem soli i wolnego algorytmu; tokeny logowania, które wygasają i są rotowane;
- logi audytowe działań administracyjnych, logi serwera przechowywane do celów operacyjnych i przeglądów bezpieczeństwa;
- rutynowe backupy, aktualizacje bezpieczeństwa i przeglądy dostawców dotyczące podprzetwarzających wskazanych w Sekcji 5.
Żaden system nie jest całkowicie bezpieczny. Jeżeli naruszenie ochrony danych osobowych będzie miało wpływ na Państwa, powiadomimy Państwa i właściwy organ nadzorczy tam, gdzie wymaga tego od nas GDPR (Art. 33-34).
11Dzieci
Usługa nie jest kierowana do dzieci poniżej szesnastego roku życia i świadomie nie zbieramy ich danych osobowych. Jeżeli dowiedzą się Państwo, że dziecko przekazało nam dane osobowe, prosimy o kontakt pod adresem [email protected], abyśmy mogli je usunąć.
12Zmiany w tej polityce
Możemy od czasu do czasu aktualizować tę politykę, aby odzwierciedlić zmiany w Usłudze, w gronie naszych podprzetwarzających lub w obowiązującym prawie. Gdy to zrobimy, zmienimy datę “Last updated” na górze tej strony. Jeżeli zmiany będą istotne, przekażemy Państwu rozsądne wyprzedzające zawiadomienie - zazwyczaj emailem, jeśli mają Państwo u nas konto, albo za pomocą bannera w Usłudze.
13Kontakt
W razie pytań dotyczących tej polityki lub sposobu, w jaki przetwarzamy dane osobowe, prosimy napisać na adres [email protected] albo wysłać korespondencję pocztą na adres COTRONIKA EOOD, Sofia 1700, Bulgaria.