Zásady ochrany osobních údajů

1. Správce údajů

Správcem ve smyslu čl. 4 bodu 7 GDPR je:

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Rakousko
• DIČ: ATU78882167
• E-mail: support@tapradar.app
• Web: www.tapradar.app

Firemní pověřenec pro ochranu osobních údajů nebyl jmenován, protože nejsou splněny podmínky čl. 37 GDPR. Dotazy týkající se ochrany osobních údajů zasílejte na výše uvedenou e-mailovou adresu; vyřídíme je bez zbytečného odkladu, nejpozději však do jednoho měsíce od doručení.

2. Struktura těchto zásad

Aby se v nich mohli rychle zorientovat, jsou tyto zásady ochrany osobních údajů rozděleny na obecnou část (body 1 až 4), zvláštní část podrobně popisující čtyři funkční oblasti aplikace a údaje o poloze a push notifikacích (body 5 až 7), část týkající se obchodních zákazníků, plateb a recenzí (body 8 až 12), část týkající se webových stránek, příjemců, předávání do třetích zemí a doby uchovávání (body 13 až 16) a část týkající se vašich práv, bezpečnosti údajů a dalších informací (body 17 až 22). Seznam úředních zdrojů se nachází na konci dokumentu.

3. Obecné zásady zpracování údajů

Osobní údaje zpracováváme v souladu se zásadami GDPR, zejména zákonností, korektností, transparentností, účelovým omezením, minimalizací údajů, přesností, omezením uložení a integritou a důvěrností (čl. 5 GDPR). Každé zpracování osobních údajů se opírá alespoň o jeden z následujících právních základů:

• čl. 6 odst. 1 písm. a) GDPR – souhlas subjektu údajů, zejména pro sdílení údajů o poloze, přijímání push notifikací a volitelnou funkci přátel a žebříčku
• čl. 6 odst. 1 písm. b) GDPR – nezbytnost pro plnění smlouvy nebo provedení opatření před uzavřením smlouvy, například poskytování funkcí aplikace Radar, Razítko, Karty a Home a správa předplatných
• čl. 6 odst. 1 písm. c) GDPR – splnění právní povinnosti, například daňových a obchodněprávních povinností uchovávání
• čl. 6 odst. 1 písm. f) GDPR – ochrana oprávněných zájmů, například prevence podvodů a zneužití, bezpečnost IT a další rozvoj platformy, pokud tyto zájmy nepřevažují nad zájmy nebo základními právy subjektu údajů

4. Přehled: kdo zpracovává co?

TapRadar propojuje dvě skupiny uživatelů: koncové zákazníky, kteří prostřednictvím bezplatné aplikace objevují místní podniky a sbírají razítka, a obchodní zákazníky, kteří prostřednictvím placeného dashboardu řídí věrnost svých zákazníků. Obě skupiny generují údaje, které jsou zpracovávány zčásti výhradně společností TOY GmbH, zčásti společně s příslušným smluvním partnerem. Následující body 5 až 12 tyto toky údajů podrobně popisují, strukturovány podle čtyř oblastí aplikace a podle údajů o poloze, push notifikacích, platbách a recenzích.

5.1 Radar – objevujte místní podniky

V oblasti Radar vám na mapě zobrazujeme partnerské podniky TapRadar ve vaší blízkosti. Zobrazení můžete zúžit pomocí filtrů (akce, kupón, odměna, nejlépe hodnocené, okruh 500 metrů) a kategorií, jako je kavárna, restaurace, kadeřnictví nebo trh. U každého partnerského podniku se zobrazuje otevírací doba, recenze a odznak tarifu, který označuje tarif zvolený tímto podnikem (Bronze, Gold nebo Platinum); tento odznak se týká výhradně obchodního zákazníka a nepředstavuje žádný váš osobní údaj.

Pro poskytování této funkce zpracováváme vaši polohu (viz bod 6), vámi zvolená nastavení filtrů a kategorií a vaše interakce se zobrazenými partnerskými podniky, například otevření profilu podniku. Tyto interakční údaje využíváme ke zlepšení zobrazení výsledků a zvýšení relevance zobrazovaných partnerských podniků. Právní základ: čl. 6 odst. 1 písm. a) GDPR pro sdílení polohy, čl. 6 odst. 1 písm. b) a f) GDPR pro údaje o filtrech, kategoriích a interakcích.

5.2 Razítko – sbírejte digitální razítka

V oblasti Razítko můžete automaticky získat digitální razítko dotykem na NFC bod nebo alternativně naskenováním QR kódu u pokladny partnerského podniku. Váš postup, například 7 z 10 razítek, se zobrazí okamžitě; po dosažení požadovaného počtu razítek si můžete uplatnit uloženou odměnu, například kávu zdarma nebo slevu. Za každé razítko navíc získáváte body pro svou úroveň v oblasti Home.

Za tímto účelem zpracováváme čas a místo každého razítkování, dotčený partnerský podnik, aktuální stav razítek na jednotlivé věrnostní kartě, uplatněné odměny a příslušný kód uplatnění. Právní základ: čl. 6 odst. 1 písm. b) GDPR. Za účelem ověření, že razítkování skutečně proběhlo na místě, navíc porovnáváme polohu vašeho zařízení; podrobnosti viz bod 6.

5.3 Karty – digitální peněženka pro stávající zákaznické karty

V oblasti Karty můžete do své peněženky TapRadar digitálně uložit již existující zákaznické karty třetích stran, například Billa, DM, H&M, Spar nebo Hofer, naskenováním nebo ručním zadáním příslušného čárového nebo QR kódu, a následně je předložit u pokladny. Uvedené značky slouží pouze jako příklady karet, které si sami ukládáte; TapRadar není s těmito společnostmi propojen a nevyměňuje si s nimi žádné údaje.

Vámi uložené údaje o kartě a čárovém kódu jsou ukládány v zašifrované podobě a používány výhradně k zobrazení ve vaší vlastní aplikaci. Právní základ: čl. 6 odst. 1 písm. b) GDPR, jelikož nás přidáním karty konkrétně pověřujete jejím uložením.

5.4 Home – profil a gamifikace

V oblasti Home najdete svůj profil s 20úrovňovým systémem úrovní od „Nováčka“ po „Šampiona“. Sbíráte body za nasbíraná razítka, odeslané recenze a pozvané přátele, sledujete týdenní cíl a využíváte systém série, kdy sedm po sobě jdoucích aktivních dnů spouští bonus. Kromě toho můžete zvát přátele a porovnávat svůj pokrok v žebříčku.

Za tímto účelem zpracováváme váš stav bodů, vaši úroveň, počítadlo série, historii vašich cílů a – pokud tuto funkci aktivně používáte – seznam vámi pozvaných nebo propojených přátel a jejich souhrnné údaje o pokroku, které jsou pro vás viditelné, pokud tyto osoby rovněž souhlasily se vzájemnou viditelností. Právní základ pro základní funkce (úroveň, body, série, týdenní cíl): čl. 6 odst. 1 písm. b) GDPR. Právní základ pro volitelnou funkci přátel a žebříčku: čl. 6 odst. 1 písm. a) GDPR, jelikož tím jsou údaje zpřístupněny dalším osobám. Úrovně, body a pořadí v žebříčku nemají žádnou peněžní hodnotu a nejsou převoditelné.

6. Údaje o poloze a GPS podrobně

TapRadar používá údaje o poloze vašeho zařízení pro dva samostatné účely: (a) funkci Radar pro zobrazení partnerských podniků ve vaší blízkosti a (b) ověřování návštěv zákazníků porovnáním polohy vašeho zařízení v okamžiku razítkování NFC nebo QR s uloženou polohou partnerského podniku, aby se zabránilo razítkování bez fyzické přítomnosti.

V závislosti na operačním systému můžete sdílení polohy podrobně nastavit, například pomocí možností „vždy“, „pouze při používání aplikace“ nebo „jednorázově“. Pro základní funkci ověřování razítek postačí sdílení během používání aplikace; trvalé sdílení polohy na pozadí je nutné pouze v případě, že chcete využívat reklamu na základě blízkosti partnerského podniku s tarifem Platinum (viz bod 7.2). Právní základ: čl. 6 odst. 1 písm. a) GDPR ve spojení s nastavením oprávnění vašeho operačního systému, podpůrně náš oprávněný zájem na prevenci podvodů podle čl. 6 odst. 1 písm. f) GDPR. Sdílení polohy můžete kdykoli odvolat prostřednictvím nastavení svého zařízení; některé funkce, zejména ověřování razítek a reklama na základě blízkosti, pak nebudou k dispozici nebo budou k dispozici pouze v omezené míře.

7.1 Servisní oznámení od TapRadar

Servisní push zprávy zasíláme na vlastní odpovědnost, například ohledně zabezpečení účtu, podstatných změn platformy nebo potvrzení transakcí. Právní základ: čl. 6 odst. 1 písm. b) a f) GDPR.

7.2 Marketingová a kampaňová push oznámení obchodních zákazníků

Obchodní zákazníci mohou prostřednictvím dashboardu zasílat kampaně a push oznámení koncovým zákazníkům, kteří jsou již zákazníky příslušného partnerského podniku (alespoň jedno nasbírané razítko) nebo kteří se – v rámci reklamy na základě blízkosti dostupné výhradně v tarifu Platinum – nacházejí v jeho blízkosti a k tomuto účelu udělili sdílení polohy. Push oznámení jsou v závislosti na tarifu omezena na určitou frekvenci (Gold: až 2 obrázkové/PDF kampaně měsíčně, žádná push oznámení; Platinum: až 4 kampaně měsíčně navíc s push oznámeními, spouštěním na základě blízkosti, odpočtem kampaně a retargetingem do 30 dnů od vaší poslední návštěvy).

Příjem marketingových a kampaňových push oznámení můžete kdykoli zcela nebo pro jednotlivé partnerské podniky deaktivovat prostřednictvím nastavení zařízení nebo nastavení v aplikaci, aniž by vám tím byl znemožněn přístup k základním funkcím aplikace. Právní základ: čl. 6 odst. 1 písm. a) GDPR ve spojení s § 174 TKG 2021.

8. Registrace a uživatelský účet (koncoví zákazníci)

Při registraci v aplikaci TapRadar shromažďujeme vaši e-mailovou adresu, heslo (uložené v zašifrované podobě), zvolené zobrazované jméno a volitelné údaje o profilu. Účel: zřízení, správa a zabezpečení vašeho uživatelského účtu. Právní základ: čl. 6 odst. 1 písm. b) GDPR.

9. Registrace, účet a firemní údaje (obchodní zákazníci)

U obchodních zákazníků, kteří si předplatí tarif Bronze, Gold nebo Platinum, navíc zpracováváme: název firmy, právní formu, adresu provozovny, DIČ, kontaktní osobu (jméno, e-mail, telefonní číslo), otevírací dobu, kategorii a popis podniku, jakož i nahraný obrázkový a PDF reklamní materiál a obsah kampaní. Účel: plnění smlouvy, poskytování dashboardu pro obchodní zákazníky, fakturace. Právní základ: čl. 6 odst. 1 písm. b) a c) GDPR.

10. Systém PIN pro zaměstnance

Obchodní zákazníci mohou v závislosti na tarifu zřídit až 15 (Platinum), 5 (Gold), respektive 1 (Bronze) přístup pro zaměstnance s individuálním PIN kódem. Za tímto účelem zpracováváme obchodním zákazníkem zadané zkratky nebo jména zaměstnanců, jakož i automaticky vedený protokol aktivit razítkování a uplatnění provedených prostřednictvím příslušného PIN. Za zákonnost tohoto zpracování vůči dotčeným zaměstnancům odpovídá příslušný obchodní zákazník jako zaměstnavatel; TOY GmbH v tomto ohledu poskytuje pouze technickou infrastrukturu. Právní základ na straně TOY GmbH: čl. 6 odst. 1 písm. b) GDPR a čl. 6 odst. 1 písm. f) GDPR.

11. Zpracování plateb

Zpracování plateb za placené tarify probíhá prostřednictvím našeho poskytovatele platebních služeb Stripe. My sami neukládáme úplné údaje o platebních kartách; ty jsou zpracovávány výhradně společností Stripe. Od Stripe dostáváme potvrzení o stavu platby a fakturovaných částkách, případně poslední čtyři číslice použitého platebního prostředku, pro účely dokumentace a vyúčtování. Právní základ: čl. 6 odst. 1 písm. b) a c) GDPR. Další informace o zpracování údajů společností Stripe naleznete v zásadách ochrany osobních údajů Stripe na stripe.com/privacy.

12. Recenze

Pokud jako koncový zákazník zveřejníte recenzi partnerského podniku, zpracováváme text recenze, hodnocení hvězdičkami, čas a doklad o ověřené návštěvě (doklad o razítku). Recenze se zobrazují partnerskému podniku a dalším uživatelům aplikace spolu s vaším zobrazovaným jménem. Právní základ: čl. 6 odst. 1 písm. a) GDPR ve spojení s čl. 6 odst. 1 písm. f) GDPR. Pokud je recenze nahlášena jako protiprávní, například protože je urážlivá nebo zjevně nevychází ze skutečné návštěvy, přezkoumáme nahlášení a dotčenou recenzi v rámci našeho postupu nahlašování a přezkumu a sdělíme výsledek jak osobě, která nahlášení podala, tak autorovi recenze.

13. Používání webových stránek, serverové log soubory a cookies

Při návštěvě našich webových stránek www.tapradar.app náš poskytovatel hostingu automaticky zpracovává technické přístupové údaje (IP adresa, datum a čas přístupu, navštívená stránka, použitý prohlížeč a operační systém, referrer URL) v serverových log souborech. Účel: zajištění bezporuchového provozu a bezpečnosti IT. Právní základ: čl. 6 odst. 1 písm. f) GDPR. Webové stránky používají výhradně technicky nezbytné cookies potřebné pro provoz stránky; sledovací nebo marketingové cookies v současné době nepoužíváme. Pokud by se to v budoucnu změnilo, požádáme vás o souhlas prostřednictvím banneru pro souhlas s cookies.

14. Příjemci a zpracovatelé

Osobní údaje předáváme pouze v rozsahu nezbytném pro poskytování našich služeb nebo v případě, že jsme k tomu zákonně povinni. Mezi naše zpracovatele, resp. příjemce, patří zejména:

• poskytovatelé hostingu a infrastruktury (provoz serverů a databází)
• Stripe (zpracování plateb)
• poskytovatelé služeb push notifikací (např. Apple Push Notification Service, Firebase Cloud Messaging) pro servisní a kampaňová push oznámení
• poskytovatelé služeb odesílání e-mailů (transakční a servisní komunikace)
• poskytovatelé IT služeb v rámci údržby a podpory

Se všemi zpracovateli jsme, pokud to zákon vyžaduje, uzavřeli smlouvy o zpracování údajů podle čl. 28 GDPR. Pokud partnerský podnik (obchodní zákazník) v rámci plnění smlouvy nahlíží v dashboardu na vaše údaje o razítkách, návštěvách nebo kampaních, jedná v tomto rozsahu jako samostatný správce, respektive v případě push kampaní jako společný správce podle bodu 7.2 těchto zásad.

15. Předávání do třetích zemí

Pokud jednotliví výše uvedení poskytovatelé služeb zpracovávají údaje mimo Evropský hospodářský prostor (EHP), což se může týkat zejména některých cloudových a push služeb amerických poskytovatelů, zajišťujeme prostřednictvím vhodných záruk odpovídající úroveň ochrany údajů, zejména uzavřením standardních smluvních doložek EU podle čl. 46 odst. 2 písm. c) GDPR nebo certifikací příjemce v rámci Data Privacy Framework EU-USA, je-li to relevantní.

16. Doba uchovávání

Osobní údaje uchováváme pouze po dobu nezbytnou pro příslušné účely:

• Údaje o účtu (koncoví a obchodní zákazníci): po dobu trvání uživatelského účtu, resp. smluvního vztahu; po zrušení účtu jsou údaje zásadně vymazány do 30 dnů, pokud tomu nebrání zákonné povinnosti uchovávání
• Údaje o razítkách, odměnách a uplatněních: po dobu trvání účtu u příslušného partnerského podniku; po ukončení smlouvy s obchodním zákazníkem jsou příslušné věrnostní karty označeny jako neaktivní a po 12 měsících vymazány
• Údaje o peněžence karet (bod 5.3): až do vlastního vymazání vámi nebo do zrušení vašeho účtu
• Údaje o gamifikaci (úroveň, body, série, týdenní cíl): po dobu trvání vašeho účtu
• Propojení s přáteli a žebříček: až do odstranění vámi nebo do zrušení vašeho účtu
• Fakturační a platební údaje: 7 let podle § 132 BAO a § 212 UGB
• Protokoly doručování a interakcí push: 12 měsíců
• Serverové log soubory: zpravidla 30 až 90 dní
• Údaje o poloze pro ověřování razítek: bez trvalého uložení; zpracování pouze po dobu ověřování, poté redukce na protokol události (čas, výsledek)
• Komunikace s podporou: 3 roky od uzavření případu, pokud zákon nevyžaduje delší uchovávání

17. Vaše práva jako subjektu údajů

Za podmínek stanovených zákonem vám náleží následující práva:

• právo na přístup (čl. 15 GDPR)
• právo na opravu (čl. 16 GDPR)
• právo na výmaz (čl. 17 GDPR)
• právo na omezení zpracování (čl. 18 GDPR)
• právo na přenositelnost údajů (čl. 20 GDPR)
• právo vznést námitku proti zpracování založenému na čl. 6 odst. 1 písm. f) GDPR (čl. 21 GDPR)
• právo odvolat udělený souhlas s účinkem do budoucna (čl. 7 odst. 3 GDPR)

K uplatnění těchto práv postačí neformální zpráva na support@tapradar.app. Vaši žádost vyřídíme bez zbytečného odkladu, nejpozději však do jednoho měsíce; tato lhůta může být u složitých nebo četných žádostí prodloužena o další dva měsíce, o čemž vás budeme informovat.

18. Bezpečnost údajů

K ochraně vašich údajů před ztrátou, zneužitím a neoprávněným přístupem uplatňujeme přiměřená technická a organizační opatření podle čl. 32 GDPR, mezi něž patří šifrování přenosu dat (TLS), šifrování zvláště citlivých uložených údajů, jako jsou hesla a údaje o peněžence karet, omezení přístupu podle zásady nejnižších oprávnění, pravidelné bezpečnostní aktualizace a protokolování bezpečnostně relevantních událostí. Naše bezpečnostní opatření průběžně přizpůsobujeme aktuálnímu stavu techniky.

19. Žádné automatizované rozhodování, omezené profilování

Úrovně, body a žebříčky v rámci aplikace vycházejí z automatizovaných, avšak plně transparentních a srozumitelných pravidel bez právního nebo obdobně významného účinku ve smyslu čl. 22 GDPR. V rámci reklamy na základě blízkosti (bod 7.2) dochází k omezenému profilování na základě polohy, aby vám mohla být zobrazena oznámení od partnerských podniků ve vaší blízkosti; toto zpracování se opírá výhradně o váš souhlas a nemá žádný právní nebo obdobně významný účinek ve smyslu čl. 22 GDPR. Automatizované rozhodování s právním účinkem vůči uživatelům neprobíhá.

20. Ochrana nezletilých

TapRadar se cíleně nezaměřuje na děti mladší 14 let. Pokud zjistíme, že byly bez souhlasu zákonného zástupce shromážděny osobní údaje dítěte mladšího minimálního věku stanoveného vnitrostátním právem, tyto údaje neprodleně vymažeme.

21. Změny těchto zásad ochrany osobních údajů

Vyhrazujeme si právo tyto zásady ochrany osobních údajů upravit tak, aby odpovídaly změněné právní situaci nebo novým funkcím platformy. Vždy platí aktuální verze zveřejněná na www.tapradar.app/datenschutz v okamžiku vaší návštěvy, resp. používání. V případě podstatných změn založených na změněném právním základu, jako je prvotní souhlas, si tento souhlas vyžádáme znovu.

22. Kontakt a právo podat stížnost

V případě dotazů týkajících se ochrany osobních údajů nás můžete kontaktovat na adrese support@tapradar.app. Bez ohledu na jiný správní nebo soudní opravný prostředek máte právo podat stížnost u dozorového úřadu, zejména u úřadu příslušného pro Rakousko:

• Rakouský úřad pro ochranu osobních údajů (Österreichische Datenschutzbehörde)
• Barichgasse 40-42, 1030 Vídeň, Rakousko
• Web: www.dsb.gv.at

Seznam zdrojů

Úřední zdroje EU a Rakouska, ze kterých tyto zásady ochrany osobních údajů vycházejí:

• Obecné nařízení o ochraně osobních údajů (GDPR), nařízení (EU) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Rakouský úřad pro ochranu osobních údajů: https://www.dsb.gv.at/