Политика за поверителност

1. Администратор на данни

Администратор по смисъла на чл. 4, т. 7 от GDPR е:

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Австрия
• ДДС номер: ATU78882167
• Имейл: support@tapradar.app
• Уебсайт: www.tapradar.app

Не е назначено вътрешно длъжностно лице по защита на данните, тъй като не са изпълнени условията по чл. 37 от GDPR. Моля, отправяйте запитвания, свързани със защитата на данните, на посочения по-горе имейл адрес; ще ги обработим без ненужно забавяне, но не по-късно от един месец от получаването им.

2. Структура на настоящата декларация

За да можете бързо да се ориентирате, настоящата политика за поверителност е разделена на обща част (точки 1–4), специална част, описваща подробно четирите функционални области на приложението, както и данните за местоположение и push известията (точки 5–7), част относно бизнес клиентите, плащанията и отзивите (точки 8–12), част относно уебсайта, получателите, предаването в трети държави и сроковете на съхранение (точки 13–16), както и част относно Вашите права, сигурността на данните и други указания (точки 17–22). Списък с официалните източници се намира в края на документа.

3. Общи принципи на обработване на данните

Обработваме личните данни при спазване на принципите на GDPR, по-специално законосъобразност, добросъвестност, прозрачност, ограничение на целите, свеждане на данните до минимум, точност, ограничение на съхранението, както и цялостност и поверителност (чл. 5 от GDPR). Всяко обработване на лични данни се основава на поне едно от следните правни основания:

• чл. 6, параграф 1, буква а) от GDPR – съгласие на субекта на данни, по-специално за споделяне на данни за местоположение, получаване на push известия и незадължителната функция за приятели и класация
• чл. 6, параграф 1, буква б) от GDPR – необходимост за изпълнение на договор или предприемане на действия преди сключване на договор, например предоставяне на функциите на приложението Радар, Печат, Карти и Home, както и управление на абонаментите
• чл. 6, параграф 1, буква в) от GDPR – изпълнение на правно задължение, например данъчни и търговскоправни задължения за съхранение
• чл. 6, параграф 1, буква е) от GDPR – защита на легитимни интереси, например предотвратяване на измами и злоупотреби, ИТ сигурност и по-нататъшно развитие на платформата, доколкото тези интереси не се преимуществат от интересите или основните права на субекта на данни

4. Общ преглед: кой какво обработва?

TapRadar свързва две групи потребители: крайни клиенти, които чрез безплатното приложение откриват местни търговски обекти и събират печати, и бизнес клиенти, които чрез платеното табло управляват лоялността на своите клиенти. И двете групи генерират данни, които се обработват отчасти изключително от TOY GmbH, отчасти съвместно със съответния договорен партньор. Следващите точки 5–12 описват подробно тези потоци от данни, структурирани по четирите области на приложението, както и по данни за местоположение, push, плащания и отзиви.

5.1 Радар – открийте местни търговски обекти

В областта Радар Ви показваме на карта партньорски обекти на TapRadar в близост до Вас. Изгледа можете да стесните чрез филтри (акция, купон, награда, най-добре оценени, радиус 500 метра) и категории като кафене, ресторант, фризьорски салон или пазар. За всеки партньорски обект се показват работно време, отзиви и значка за тарифен план, обозначаваща избрания от този обект план (Bronze, Gold или Platinum); тази значка се отнася изключително до бизнес клиента и не представлява Ваш личен данни.

За предоставянето на тази функция обработваме Вашето местоположение (вж. точка 6), избраните от Вас настройки за филтри и категории, както и Вашите взаимодействия с показаните партньорски обекти, например отваряне на профил на обект. Използваме тези данни за взаимодействие, за да подобрим показването на резултатите и да увеличим релевантността на показваните партньорски обекти. Правно основание: чл. 6, параграф 1, буква а) от GDPR за споделяне на местоположението, чл. 6, параграф 1, букви б) и е) от GDPR за данните за филтри, категории и взаимодействие.

5.2 Печат – събирайте цифрови печати

В областта Печат можете автоматично да получите цифров печат, като докоснете NFC точка или алтернативно сканирате QR код на касата на партньорски обект. Вашият напредък, например 7 от 10 печата, се показва веднага; при достигане на необходимия брой печати можете да осребрите запазената награда, например безплатно кафе или отстъпка. За всеки печат получавате и точки за нивото си в областта Home.

За тази цел обработваме времето и мястото на всяко печатане, съответния партньорски обект, текущия брой печати за всяка карта за лоялност, осребрените награди, както и съответния код за осребряване. Правно основание: чл. 6, параграф 1, буква б) от GDPR. За да проверим дали печатането действително е извършено на място, допълнително сравняваме местоположението на Вашето устройство; подробности вж. в точка 6.

5.3 Карти – цифров портфейл за съществуващи клиентски карти

В областта Карти можете цифрово да запазите в своя портфейл в TapRadar вече съществуващи клиентски карти на трети страни, например на Billa, DM, H&M, Spar или Hofer, като сканирате или ръчно въведете съответния баркод или QR код, а след това да ги покажете на касата. Посочените марки служат само като примери за карти, които сами съхранявате; TapRadar не е свързан с тези компании и не осъществява никакъв обмен на данни с тях.

Данните за карта и баркод, които съхранявате, се запазват в криптиран вид и се използват изключително за показване в собственото Ви приложение. Правно основание: чл. 6, параграф 1, буква б) от GDPR, тъй като чрез добавянето на картата специално ни възлагате нейното съхранение.

5.4 Home – профил и геймификация

В областта Home ще намерите своя профил със система от 20 нива, от „Начинаещ“ до „Шампион“. Събирате точки за събрани печати, подадени отзиви и поканени приятели, следите седмична цел и се възползвате от система на серии, при която седем последователни активни дни задействат бонус. Освен това можете да каните приятели и да сравнявате напредъка си в класация.

За тази цел обработваме Вашия точков баланс, нивото Ви, брояча на серии, историята на Вашите цели, както и – ако активно използвате тази функция – списъка на поканените или свързаните от Вас приятели и техните обобщени данни за напредък, видими за Вас, доколкото и тези лица са се съгласили на взаимна видимост. Правно основание за основните функции (ниво, точки, серия, седмична цел): чл. 6, параграф 1, буква б) от GDPR. Правно основание за незадължителната функция за приятели и класация: чл. 6, параграф 1, буква а) от GDPR, тъй като по този начин данни стават видими за други лица. Нивата, точките и класирането нямат парична стойност и не подлежат на прехвърляне.

6. Данни за местоположение и GPS подробно

TapRadar използва данните за местоположението на Вашето устройство за две отделни цели: (а) функцията Радар за показване на партньорски обекти в близост до Вас и (б) проверка на посещения на клиенти, като местоположението на Вашето устройство в момента на печатане чрез NFC или QR се сравнява със запазеното местоположение на партньорския обект, за да се предотврати печатане без физическо присъствие.

В зависимост от операционната система можете подробно да контролирате споделянето на местоположението, например с опциите „винаги“, „само при използване на приложението“ или „еднократно“. За основната функция за проверка на печати е достатъчно споделяне по време на използване на приложението; постоянното споделяне на местоположение във фонов режим е необходимо само ако желаете да използвате реклама на базата на близост от партньорски обект с план Platinum (вж. точка 7.2). Правно основание: чл. 6, параграф 1, буква а) от GDPR във връзка с настройките за разрешения на Вашата операционна система, при условията на евентуалност нашият легитимен интерес от предотвратяване на измами съгласно чл. 6, параграф 1, буква е) от GDPR. Можете по всяко време да оттеглите споделянето на местоположение чрез настройките на Вашето устройство; отделни функции, по-специално проверката на печати и рекламата на базата на близост, тогава няма да бъдат налични или ще бъдат налични само ограничено.

7.1 Сервизни известия от TapRadar

Изпращаме сервизни push съобщения на собствена отговорност, например относно сигурността на акаунта, съществени промени в платформата или потвърждение на транзакции. Правно основание: чл. 6, параграф 1, букви б) и е) от GDPR.

7.2 Маркетингови и кампанийни push известия от бизнес клиенти

Бизнес клиентите могат чрез таблото да изпращат кампании и push известия на крайни клиенти, които вече са клиенти на съответния партньорски обект (поне един събран печат) или които – в рамките на рекламата на базата на близост, налична изключително в плана Platinum – се намират в близост до него и са дали съгласие за споделяне на местоположение за тази цел. Push известията са ограничени, в зависимост от плана, до определена честота (Gold: до 2 кампании с изображение/PDF месечно, без push известия; Platinum: до 4 кампании месечно плюс push известия, задействане на базата на близост, обратно броене на кампанията и ретаргетинг в рамките на 30 дни от последното Ви посещение).

Можете по всяко време да деактивирате получаването на маркетингови и кампанийни push известия, изцяло или за отделен партньорски обект, чрез настройките на устройството или настройките в приложението, без по този начин да Ви бъде отказан достъп до основните функции на приложението. Правно основание: чл. 6, параграф 1, буква а) от GDPR във връзка с § 174 от TKG 2021.

8. Регистрация и потребителски акаунт (крайни клиенти)

При регистрация в приложението TapRadar събираме Вашия имейл адрес, парола (съхранявана в криптиран вид), избраното показвано име, както и незадължителни данни за профила. Цел: създаване, управление и обезопасяване на Вашия потребителски акаунт. Правно основание: чл. 6, параграф 1, буква б) от GDPR.

9. Регистрация, акаунт и фирмени данни (бизнес клиенти)

За бизнес клиенти, които се абонират за план Bronze, Gold или Platinum, обработваме допълнително: наименование на фирмата, правна форма, адрес на обекта, ДДС номер, лице за контакт (име, имейл, телефонен номер), работно време, категория и описание на обекта, както и качени изображения и PDF рекламни материали и съдържание на кампании. Цел: изпълнение на договора, предоставяне на таблото за бизнес клиенти, фактуриране. Правно основание: чл. 6, параграф 1, букви б) и в) от GDPR.

10. Система с ПИН за служители

Бизнес клиентите могат, в зависимост от плана, да настроят до 15 (Platinum), 5 (Gold), респ. 1 (Bronze) достъпа за служители с индивидуален ПИН код. За тази цел обработваме въведените от бизнес клиента инициали или имена на служители, както и автоматично поддържан дневник на дейностите по печатане и осребряване, извършени чрез съответния ПИН. За законосъобразността на тази обработка спрямо съответните служители отговаря съответният бизнес клиент в качеството си на работодател; TOY GmbH предоставя в това отношение само техническата инфраструктура. Правно основание от страна на TOY GmbH: чл. 6, параграф 1, буква б) от GDPR, както и чл. 6, параграф 1, буква е) от GDPR.

11. Обработка на плащанията

Обработката на плащанията за платените планове се извършва чрез нашия доставчик на платежни услуги Stripe. Ние самите не съхраняваме пълни данни за платежни карти; те се обработват изключително от Stripe. Получаваме от Stripe потвърждения за статуса на плащането и сумите по фактурите, както и при необходимост последните четири цифри на използваното платежно средство, за документационни и отчетни цели. Правно основание: чл. 6, параграф 1, букви б) и в) от GDPR. За повече информация относно обработката на данни от Stripe вижте политиката за поверителност на Stripe на stripe.com/privacy.

12. Отзиви

Когато като краен клиент публикувате отзив за партньорски обект, обработваме текста на отзива, оценката със звезди, времето, както и доказателство за проверено посещение (доказателство за печат). Отзивите се показват на партньорския обект, както и на други потребители на приложението, заедно с Вашето показвано име. Правно основание: чл. 6, параграф 1, буква а) от GDPR във връзка с чл. 6, параграф 1, буква е) от GDPR. Ако отзив бъде докладван като незаконосъобразен, например защото е обиден или очевидно не се основава на действително посещение, разглеждаме сигнала и съответния отзив в рамките на нашата процедура за докладване и преглед и съобщаваме резултата както на подалото сигнала лице, така и на автора на отзива.

13. Използване на уебсайта, лог файлове на сървъра и бисквитки

При посещение на нашия уебсайт www.tapradar.app доставчикът ни на хостинг автоматично обработва технически данни за достъп (IP адрес, дата и час на достъпа, посетената страница, използваният браузър и операционна система, реферер URL) в лог файлове на сървъра. Цел: осигуряване на безпроблемна работа и ИТ сигурност. Правно основание: чл. 6, параграф 1, буква е) от GDPR. Уебсайтът използва изключително технически необходими бисквитки, необходими за работата на сайта; понастоящем не използваме проследяващи или маркетингови бисквитки. Ако това се промени в бъдеще, ще поискаме Вашето съгласие чрез банер за съгласие с бисквитки.

14. Получатели и обработващи лица

Предаваме лични данни само доколкото това е необходимо за предоставянето на нашите услуги или когато сме законово задължени за това. Към нашите обработващи лица, респ. получатели, спадат по-специално:

• доставчици на хостинг и инфраструктурни услуги (експлоатация на сървъри и бази данни)
• Stripe (обработка на плащания)
• доставчици на услуги за push известия (напр. Apple Push Notification Service, Firebase Cloud Messaging) за сервизни и кампанийни push известия
• доставчици на услуги за изпращане на имейли (транзакционна и сервизна комуникация)
• ИТ доставчици на услуги в рамките на поддръжка и подкрепа

С всички обработващи лица сме сключили, доколкото това се изисква от закона, споразумения за обработка на данни съгласно чл. 28 от GDPR. Доколкото партньорски обект (бизнес клиент) преглежда в таблото Вашите данни за печати, посещения или кампании в рамките на изпълнението на договора, той действа в това отношение като самостоятелен администратор, респ., в случай на push кампании, като съвместен администратор съгласно точка 7.2 от настоящата декларация.

15. Предаване в трети държави

Доколкото отделни от гореспоменатите доставчици на услуги обработват данни извън Европейското икономическо пространство (ЕИП), което може да засегне по-специално определени облачни и push услуги на американски доставчици, чрез подходящи гаранции осигуряваме подходящо ниво на защита на данните, по-специално чрез сключване на стандартни договорни клаузи на ЕС съгласно чл. 46, параграф 2, буква в) от GDPR или сертифициране на получателя в рамките на Рамката за защита на данните между ЕС и САЩ (Data Privacy Framework), доколкото е приложимо.

16. Срокове на съхранение

Съхраняваме личните данни само толкова дълго, колкото е необходимо за съответните цели:

• Данни за акаунта (крайни клиенти и бизнес клиенти): за периода на съществуване на потребителския акаунт, респ. на договорното правоотношение; след изтриване на акаунта данните по правило се изтриват в рамките на 30 дни, доколкото на това не пречат законови задължения за съхранение
• Данни за печати, награди и осребрявания: за периода на съществуване на акаунта при съответния партньорски обект; след прекратяване на договора с бизнес клиента съответните карти за лоялност се маркират като неактивни и се изтриват след 12 месеца
• Данни за портфейла с карти (точка 5.3): до самостоятелно изтриване от Вас или до изтриване на Вашия акаунт
• Данни за геймификация (ниво, точки, серия, седмична цел): за периода на съществуване на Вашия акаунт
• Връзки с приятели и класация: до премахване от Вас или до изтриване на Вашия акаунт
• Данни за фактуриране и плащания: 7 години съгласно § 132 BAO и § 212 UGB
• Дневници за доставка и взаимодействие с push известия: 12 месеца
• Лог файлове на сървъра: по правило 30 до 90 дни
• Данни за местоположение за проверка на печати: без постоянно съхранение; обработка само за периода на проверката, след което се свежда до дневник на събитията (време, резултат)
• Комуникация с поддръжката: 3 години от приключването на случая, доколкото законът не изисква по-дълго съхранение

17. Вашите права като субект на данни

В съответствие със законовите изисквания Ви се полагат следните права:

• право на достъп (чл. 15 от GDPR)
• право на коригиране (чл. 16 от GDPR)
• право на изтриване (чл. 17 от GDPR)
• право на ограничаване на обработването (чл. 18 от GDPR)
• право на преносимост на данните (чл. 20 от GDPR)
• право на възражение срещу обработване, основано на чл. 6, параграф 1, буква е) от GDPR (чл. 21 от GDPR)
• право на оттегляне на дадено съгласие с действие занапред (чл. 7, параграф 3 от GDPR)

За упражняването на тези права е достатъчно неформално съобщение до support@tapradar.app. Ще обработим Вашето искане без ненужно забавяне, но не по-късно от един месец; този срок може да бъде удължен с още два месеца при сложни или многобройни искания, за което ще Ви уведомим.

18. Сигурност на данните

Прилагаме подходящи технически и организационни мерки съгласно чл. 32 от GDPR, за да защитим Вашите данни от загуба, злоупотреба и неоторизиран достъп, включително криптиране на предаването на данни (TLS), криптиране на особено чувствителни съхранявани данни като пароли и данни на портфейла с карти, ограничения на достъпа съгласно принципа на най-малко привилегии, редовни актуализации на сигурността, както и регистриране на събития, свързани със сигурността. Нашите мерки за сигурност непрекъснато се адаптират към актуалното състояние на техниката.

19. Липса на автоматизирано вземане на решения, ограничено профилиране

Нивата, точките и класациите в приложението се основават на автоматизирани, но напълно прозрачни и разбираеми правила, без правно или подобно значимо въздействие по смисъла на чл. 22 от GDPR. В рамките на рекламата на базата на близост (точка 7.2) се извършва ограничено профилиране на базата на местоположение, за да Ви се показват известия от партньорски обекти в близост; тази обработка се основава изключително на Вашето съгласие и няма правно или подобно значимо въздействие по смисъла на чл. 22 от GDPR. Не се извършва автоматизирано вземане на решения с правно въздействие спрямо потребителите.

20. Защита на непълнолетни лица

TapRadar не е насочен целенасочено към деца под 14 години. Ако установим, че без съгласието на законен представител са събрани лични данни на дете под минималната възраст, приложима съгласно националното право, ще изтрием тези данни без ненужно забавяне.

21. Промени в настоящата политика за поверителност

Запазваме си правото да адаптираме настоящата политика за поверителност, за да я приведем в съответствие с променената правна ситуация или нови функции на платформата. Винаги важи актуалната версия, публикувана на www.tapradar.app/datenschutz към момента на Вашето посещение, респ. използване. При съществени промени, основани на променено правно основание, като например първоначално съгласие, ще получим отново това съгласие.

22. Контакт и право на жалба

За въпроси, свързани със защитата на данните, можете да се свържете с нас на support@tapradar.app. Без да се засяга друго административно или съдебно средство за защита, имате право да подадете жалба до надзорен орган, по-специално до компетентния за Австрия орган:

• Австрийски орган за защита на данните (Österreichische Datenschutzbehörde)
• Barichgasse 40-42, 1030 Виена, Австрия
• Уебсайт: www.dsb.gv.at

Списък на източниците

Официални източници на ЕС и Австрия, на които се основава настоящата политика за поверителност:

• Общ регламент относно защитата на данните (GDPR), Регламент (ЕС) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Австрийски орган за защита на данните: https://www.dsb.gv.at/